Använd dynamiska SQL-parametrar i standardpostuppsättningar i Dreamweaver 8.0.2 och CS3

• Åtgärda sårbarhet i databasens säkerhet
• SQL-injektioner och förebyggande metoder
• Använda förberedda instruktioner
• Tillåt dynamiska parametrar i standardpostuppsättningar

Åtgärda sårbarhet i databasens säkerhet

För att öka säkerheten i Dreamweaver 8.0.2 och CS3 har vi tagit bort möjligheten att använda dynamiska SQL-parametrar i standardpostuppsättningar. Den ursprungliga koden exponerade databaser för SQL-injektioner. Sårbarheten i säkerheten har åtgärdats genom användning av förberedda instruktioner för ASP_VBS- och ColdFusion-servermodeller. Det var nödvändigt att lägga till en funktion på sidan när den första postuppsättningen tillämpas och sedan anropa den funktionen från alla postuppsättningar på sidan för PHP_MySQL. Tekniken liknar de förberedda instruktionerna från ASP_VBS och ColdFusion.

I försöken att täppa till sårbarheten i säkerheten fick vi kompromissa med flexibiliteten för att öka säkerheten. Vi vill ge utvecklare som redan har eller planerar att utveckla tillägg som kommer att behöva hantera dynamiska SQL-frågor, såväl som slutanvändare som vill anpassa sina postuppsättningar för att acceptera dynamiska parametrar, möjligheten att redigera de anpassade postuppsättningarna från Dreamweaver.

SQL-injektioner och förebyggande metoder

En SQL-injektion är en teknik som utnyttjar en säkerhetssårbarhet som förekommer i databasskiktet i ett program. Sårbarheten finns när användarinmatningen antingen är felaktigt filtrerad för strängkonstanta avbrottstecken som är inbäddade i SQL-instruktioner eller om användarinmatningen inte är starkt typifierad och därmed oväntat exekveras. Det är i själva verket ett exempel på en mer allmän klass av sårbarheter som kan uppstå när ett programmerings- eller skriptspråk är inbäddat i ett annat. Gå till Wikipedia för ytterligare information.

Exempel på en standardmässig SQL-fråga:

SELECT * FROM company_com WHERE name_com = '$companyName'

I exemplet ovan läses variabeln $companyName in från ett inmatningsfält i formuläret, så användaren har fullständig kontroll över vilket värde som skickas. I bästa fall kommer SQL-frågan att se ut så här när användaren skriver ”Adobe” (utan citattecken) i de indata som motsvarar företagsnamnet:

SELECT * FROM company_com WHERE name_com = 'Adobe'

Men det finns fall då användare kanske vill knäcka webbplatsen och stjäla känslig information och/eller förstöra databasen. Med beaktande av exemplet ovan är en SQL-injektion lätt att uppnå genom att man anger följande sträng ”blabla’ OR '1’=’1” (utan de omgivande citattecknen). Genom att uppge den här teckensekvensen får användaren tillgång till alla företag i stället för ett enstaka företag. Den faktiska SQL som körs är:

SELECT * FROM company_com WHERE name_com = 'blabla' OR '1'='1'

Dessutom, om användaren vill ta bort hela company_com-tabellen, kan han/hon göra det genom att helt enkelt överföra följande sträng ”x'; DROP TABLE company_com; --” (utan de omgivande citattecknen). Här är den fullständiga SQL-frågan:

SELECT * FROM company_com WHERE name_com = 'x'; DROP TABLE company_com; --'

Använd en av följande åtgärder för att skydda webbplatsens från SQL-injektioner:

• Begränsa inmatningen till en minsta uppsättning tillåtna tecken genom att automatiskt ta bort alla tecken som faller utanför det givna intervallet.
• Undanta alla tecken som kan orsaka problem när de används i en SQL-fråga (till exempel enkla citattecken).
• Använd förberedda instruktioner.
• Använd åtkomsträttigheter till databasen.
• Använd lagrade procedurer.

Vi rekommenderar förberedda instruktioner som beskrivs mer detaljerat i Använda förberedda instruktioner. Dreamweaver 8.0.2 och CS3 använder förberedda instruktioner för ASP_VBS-, ASP_JavaScript-, Cold Fusion- och JSP-servermodellerna, och undantar användarens inmatningsmetod för PHP_MySQL-servermodellen. Se SQL-injektionsangrepp med exempel för ytterligare information om SQL-injektionsangrepp.

Använda förberedda instruktioner

Dreamweaver 8.0.2 och CS använder förberedda instruktioner eftersom den här lösningen garanterar oss att utbytandet av de faktiska SQL-parametrarna med givna värden (eventuellt skickade via URL) kommer att göras på servern och inte på sidan. Förberedda instruktioner garanterar också att själva värdet som skickas till SQL har rätt datatyp och använder lämpliga undantagstecken (om en parameter sägs vara av typen int, kommer användaren inte att kunna skicka en bokstav, eller om en parameter är av typen text kommer hela den överförda strängen att undantas och användaren har inte chans att utföra en SQL-injektion).

Förberedda instruktioner för ASP_VBS- och ASP_JS-servermodellerna

För ASP_VBS och ASP_JS förlitar vi oss på ADODB-databasskiktet. Följande exempel visar en enkel ASP_VBS-postuppsättning som använder en dynamisk SQL-parameter för att filtrera resultat:

Förberedda instruktioner för ColdFusion-servermodellerna

ColdFusion erbjuder inbyggt stöd för förberedda instruktioner. Följande exempel visar en enkel ColdFusion-postuppsättning som använder en dynamisk SQL-parameter för att filtrera resultat:

Förberedda instruktioner för ColdFusion-servermodellen

Förberedda instruktioner för PHP blev tillgängliga med MySQL 4.1, men eftersom vi även ville stödja tidigare versioner av MySQL beslutade vi oss för att implementera en anpassad funktion som gör praktiskt taget samma sak. Följande exempel visar en enkel PHP-postuppsättning som använder en dynamisk SQL-parameter för att filtrera resultat:

Tillåt dynamiska parametrar i standardpostuppsättningar

Hur kan vi ge skydd mot SQL-injektioner när vi fortfarande tillåter dynamiska parametrar och håller den resulterande koden redigerbar via panelen Serverbeteende i Dreamweaver? Lösningen är att infoga de dynamiska parametrarna i själva SQL-frågan, snarare än att överföra dem som klassiska SQL-parametrar (som antingen skulle undantas eller läggas till SQL via förberedda instruktioner).

Viktigt: Användare kan inte generera en sådan kod med hjälp av Objekt och Serverbeteenden som levereras med Dreamweaver 8.0.2 eller CS3 (exempel: Infoga en postuppsättning via panelen Serverbeteenden eller Infoga fält). Lösningen kräver att användaren redigerar koden manuellt eller installerar ett tredjepartstillägg som skapar en sådan kod. Det åligger användaren eller utvecklaren av tredjepartsprogramvaran att skriva säker kod.

Syftet med metoden är att låta erfarna utvecklare skapa dynamiska SQL-frågor. Missbruk av lösningen ger en hackare möjlighet att få oönskade privilegier och/eller knäcka webbsidorna och databasen. Se SQL-injektioner och förebyggande metoder för att minska risken för SQL-injektioner.

De huvudsakliga fall vi har identifierat där lösningen skulle användas är:

• Manuellt skapande/manuell uppdatering av en SQL-fråga så att den accepterar dynamiska parametrar.
• Skapande/uppgradering av befintliga tillägg för att generera dynamiska parametrar.

Båda användningsfallen beskrivs ingående i följande stycken.

Manuellt skapande/manuell uppdatering av en SQL-fråga så att den accepterar dynamiska parametrar samtidigt som postuppsättningen fortfarande är redigerbar i Dreamweaver

I följande exempel vill användaren lägga till sorteringsfunktioner i en dynamisk tabell. Han bestämmer sig för att ladda om sidan medan han skickar filerna och sorteringsriktningen som ska användas (stigande eller fallande) i URL:en. Ett första exempel på URL är:

Handkodning krävs för att utföra uppgiften i Dreamweaver med hjälp av Serverbeteenden. Följande kodexempel visar de ändringar som måste göras för var och en av servermodellerna.

Viktigt: Observera att inget av exemplen nedan har validering mot SQL-injektioner. Deras roll är rent pedagogisk och de ska inte användas i produktion som de är. Exemplen är inte hundraprocentigt säkra eftersom vi vill hålla dem så enkla som möjligt. Du måste skydda mot SQL-injektioner. Se SQL-injektioner och förebyggande metoder för ytterligare information.

ASP_VBS

Före:

Efter:

ColdFusion

Före:

Efter:

PHP_MySQL

Före:

Efter:

Skapande/uppgradering av befintliga tillägg för att generera dynamiska parametrar samtidigt som postuppsättningen fortfarande är redigerbar i Dreamweaver

Tänk dig nu att det är samma scenario som ovan, förutom att användaren vill skapa ett tillägg som kommer att generera lämplig kod snarare än att förlita sig på en kombination av inbyggd funktionalitet och handredigering. Det nya tillägget bör generera rätt kod för ASP_VBS-, ColdFusion- och PHP_MySQL-servermodellerna.

Viktigt: I följande avsnitt fokuserar vi endast på att generera kod som använder värdena från URL-parametrarna för att skapa en dynamisk SQL-fråga. Huvudfokus är att generera koden så att den fortfarande blir igenkänd av Dreamweaver och kan redigeras inom Dreamweavers standardgränssnitt. Självstudierna tar inte upp valideringen av inmatningsdata (via URL-parametrar) och skyddar inte den slutliga SQL:en mot försök med SQL-injektioner eftersom komplexiteten i sådan kod faller utanför ramen för självstudierna. Utvecklaren är ensam ansvarig för att skydda den slutliga SQL:en mot SQL-injektioner.

Vi tillhandahåller ett demonstationstillägg som tar en anslutning och en tabell som inmatning och genererar en dynamisk tabell som visar alla poster. Det uppdaterar också den genererade SQL:en så att den innehåller variabeln orderBy som visas i exemplen ovan. Tillägget designades för Dreamweaver 8.0.2 och CS3. Den genererade koden är inte hundraprocentigt säker eftersom målet är att skapa postuppsättningar som innehåller dynamiska parametrar som förblir redigerbara med Dreamweavers standardgränssnitt. Källkoden för tillägget finns i Användarens konfigurationsmapp.

I samtliga kodexempel nedan lades de markerade avsnitten till för att aktivera sorteringsfunktionaliteten via URL-parametrarna sortCol och sortDir.

ASP_VBS

Koden som genererar lämplig SQL-fråga för ASP_VBS-servermodellen finns i filen ”[USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js” i Användarkonfigurationsmapp. Den märkbara förändringen finns på rad 130:

Deltagarfilen för MyDynamicTable ASP_VBS-serverns beteende innehåller en extra deltagare som lägger till variabeldefinitionen ”orderBy” på sidan:

ColdFusion

Samma ”[USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js” i Användarkonfigurationsmapp innehåller även koden för ColdFusion-servermodell; den relevanta förändringen i detta fall finns på rad 138:

Deltagarfilen för MyDynamicTable ColdFusion-serverns beteende innehåller en extra deltagare som lägger till variabeldefinitionen ”orderBy” på sidan:

PHP_MySQL

Den senaste servermodellen i tillägget är PHP_MySQL. Den relevanta förändringen i ”[USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js” i Användarkonfigurationsmapp finns på rad 122:

Deltagarfilen för MyDynamicTable PHP_MySQL-serverns beteende innehåller en extra deltagare som lägger till variabeldefinitionen ”orderBy” på sidan:

Fördelar

Metoden som beskrivs ovan har flera fördelar, inklusive:

• Att de mer avancerade utvecklarna kan dra fördel av SQL-injektionssårbarheten för att konstruera mer komplexa SQL på ett dynamiskt sätt.
• Att de skapade postuppsättningarna fortfarande kan redigeras från Dreamweaver.
• Det är inte svårt att integrera i befintliga Dreamweaver-tillägg som genererar postuppsättningar med dynamiska SQL-parametrar.
• Standardkoden som genereras av Dreamweaver förblir oförändrad. Utvecklare som inte kräver dynamiska frågor (och deras kunder) kan vara säkra på att koden som är skriven av Dreamweaver är säker.

Nackdelar

Eftersom Dreamweaver inte utformades för att stödja den här metoden som standard har den också några nackdelar, inklusive:

• Koden som genereras med den metod som beskrivs i dokumentet är sårbar för SQL-injektioner och måste därför skyddas på andra sätt. Listan över sådana skyddsmetoder inbegriper men är inte begränsad till:
  • Att se till att slutanvändaren inte kan använda SQL-injektionsmetoden till att omfatta webbsidan och/eller databasen;
  • Att undanta argument innan de når den faktiska SQL;
  • Se till att även om användaren lyckas knäcka koden kan han/hon inte stjäla känslig information och/eller omfatta databasen.
• Två kända fel som inte kan åtgärdas förrän nästa version av Dreamweaver släpps:
  • ColdFusion: Enkelt användargränssnitt för postuppsättningen tar bort hasharna runt variabla namn från SQL-frågan när de redigeras och sedan appliceras på nytt
  • ColdFusion, ASP_VBS, ASP_JS: Testknappen från Avancerat gränssnitt för postuppsättning fungerar inte när SQL-frågan innehåller variabla namn

Hitta användarens konfigurationsmapp

• Windows XP
  
  C:\Dokument och inställningar\[användarnamn]\Programdata\Adobe\Dreamweaver 9\Konfiguration
  

• Windows Vista:
  
  C:\Användare\[användarnamn]\AppData\Roaming\Adobe\Dreamweaver 9\Configuration
  

• MacOS 10.4.x
  
  /Användare/[användarnamn]/Bibliotek/Program\ Support/Adobe/Dreamweaver\ 9/Konfiguration