在 Dreamweaver 8.0.2 和 CS3 的標準資料錄集內使用動態 SQL 參數

涵蓋內容

• 解決資料庫安全漏洞
• SQL 插入和防止方法
• 使用已備妥的陳述式
• 允許在標準資料錄集內使用動態參數

解決資料庫安全性漏洞

為了提高 Dreamweaver 8.0.2 和 CS3 的安全性，我們已移除在標準資料錄集內使用動態 SQL 的功能。 原始程式碼會使資料庫容易受到 SQL 插入的攻擊。 使用為 ASP_VBS 和 ColdFusion 伺服器模型備妥的陳述式已解決安全性漏洞。 原本必須在套用第一個資料錄集時將函數新增到頁面，然後在 PHP_MySQL 頁面上從所有資料錄集呼叫該函數。 此技巧類似於備妥的 ASP_VBS 和 ColdFusion 陳述式。

為了填補安全性漏洞，我們會捨棄部分彈性來加強安全性。 對於已經在開發或打算開發擴充功能且需要處理動態 SQL 查詢的開發人員，以及想要自訂資料錄集以接受動態參數的一般使用者，我們希望提供從 Dreamweaver 內部編輯這些自訂資料錄集的功能。

SQL 插入和防止方法

SQL 插入是針對安全性漏洞攻擊的一種技巧，發生在應用程式的資料庫層。 使用者輸入針對內嵌於 SQL 陳述式的字串常值逸出字元進行了錯誤的篩選，或是使用者輸入並非強型別且因此無預警執行時，就會出現此漏洞。 事實上，某個程式或指令碼語言內嵌在另一個程式或指令碼語言時，這個漏洞實例就是可能會發生的較常見類別。 如需其他資訊，請造訪 Wikipedia。

標準 SQL 查詢範例：

SELECT * FROM company_com WHERE name_com = '$companyName'

在上方的範例中，$companyName 變數是從輸入表格欄位讀取，因此使用者能夠完全控制要提交的值。 在最好的情況下，使用者在對應公司名稱的輸入欄位中輸入「Adobe」(不包含括號) 時，所提供的 SQL 查詢看起來會類似這樣：

SELECT * FROM company_com WHERE name_com = 'Adobe'

但是，有時候使用者可能會想要入侵網站並竊取敏感資訊和/或破壞資料庫。 考量到上方的範例，輸入「blabla' OR '1'='1」字串 (不包含前後括號) 將能夠輕鬆完成 SQL 插入。 透過提供此字元序列，使用者將能夠擁有對所有公司的存取權限，而不是單一公司。 所執行的實際 SQL 為：

SELECT * FROM company_com WHERE name_com = 'blabla' OR '1'='1'

此外，如果使用者想要刪除整個 company_com 表，只要傳遞「x'; DROP TABLE company_com; --」字串 (不包含前後括號) 即可輕鬆完成。 以下是完整的 SQL 查詢：

SELECT * FROM company_com WHERE name_com = 'x'; DROP TABLE company_com; --'

使用以下其中一個措施可避免網站遭到 SQL 插入：

• 自動移除所有其他不在指定範圍內的字元，將輸入限制為最小的允許字元組。
• 在 SQL 查詢中使用時，逸出所有可能會產生問題的字員 (例如單括號)。
• 使用已備妥的陳述式。
• 使用資料庫存取權限。
• 使用預存程序。

建議使用已備妥的陳述式，詳細說明請參閱使用已備妥的陳述式。 Dreamweaver 8.0.2 和 CS3 對 ASP_VBS、ASP_JavaScript、Cold Fusion 和 JSP 伺服器模型使用已備妥的陳述式方法，並對 PHP_MySQL 伺服器模型使用逸出使用者輸入方法。 如需 SQL 插入式攻擊的其他資訊，請參閱 SQL 插入式攻擊範例。

使用已備妥的陳述式

Dreamweaver 8.0.2 和 CS 會使用已備妥的陳述式，因為此解決方案能夠向我們保證，以指定值替換實際 SQL 參數 (可能透過 URL 傳送) 會在伺服器上完成，而不是在頁面上完成。 已備妥的陳述式也能夠保證傳遞到 SQL 本身的值具有適當的資料類型並使用適當的逸出 (如果參數屬於類型 int，則使用者將無法提交字母；如果參數屬於類型 text，則整個傳遞的字串將會適當地逸出，且使用者將沒有機會執行 SQL 插入)。

適用於 ASP_VBS 和 ASP_JS 伺服器模型的已備妥陳述式

對於 ASP_VBS 和 ASP_JS，我們需要 ADODB 資料庫層。 以下範例顯示使用動態 SQL 參數來篩選結果的簡易 ASP_VBS 資料錄集：

適用於 ColdFusion 伺服器模型的已備妥陳述式

ColdFusion 為已備妥的陳述式提供內建支援。 以下範例顯示使用動態 SQL 參數來篩選結果的簡易 ColdFusion 資料錄集：

適用於 PHP_MySQL 伺服器模型的模擬已備妥陳述式

適用於 PHP 的已備妥陳述式是透過 MySQL 4.1 提供，但因為我們也希望支援先前版本的 MySQL，所以決定實作功能實際上相同的自訂函數。 以下範例顯示使用動態 SQL 參數來篩選結果的簡易 PHP 資料錄集：

允許在標準資料錄集內使用動態參數

所以，如何能夠在防止 SQL 插入的同時，仍允許在 Dreamweaver 中使用動態參數，並透過「伺服器行為」面板使所產生的程式碼維持可供編輯呢？ 解決方案是將動態參數插入 SQL 查詢本身，而不是以傳統的 SQL 參數加以傳遞 (也就是透過已備妥的陳述式來逸出或附加到 SQL)。

重要：使用者無法使用 Dreamweaver 8.0.2 或 CS3 隨附的物件和伺服器行為來產生這類程式碼 (例如：透過「伺服器行為」面板或「插入」列來插入資料錄集)。 此解決方案需要使用者手動編輯程式碼，或是安裝建立此類程式碼的協力廠商擴充功能。 寫入安全程式碼的責任屬於使用者或協力廠商軟體開發人員。

此方法的目的在於讓資深的開發人員建立動態 SQL 查詢。 不當使用此解決方案會讓駭客有機會獲得不必要的權限和/或入侵網頁及資料庫。 請參閱 SQL 插入和防止方法來減少 SQL 插入的風險。

我們發現可使用此解決方案的主要案例為：

• 手動建立/更新 SQL 查詢以接受動態參數。
• 建立/升級現有擴充功能以產生動態參數。

我們將在接下來的段落中詳細說明這兩個使用案例。

手動建立/更新 SQL 查詢以接受動態參數，同時將資料錄集維持為可從 Dreamweaver 內部編輯

在接下來的範例中，使用者想要新增排序功能到動態表中。 他決定重新載入頁面，同時在 URL 中傳遞要使用的檔案和排序方向 (遞增或遞減)。 初始的 URL 範例為：

需要手動編碼才能透過伺服器行為在 Dreamweaver 中完成此工作。 以下程式碼範例顯示了必須對每個伺服器模型進行的變更。

重要：請注意，以下任一範例均未對 SQL 插入進行驗證。 這些範例所扮演的角色純粹是為了教育用途，不應按照原樣用於生產。 這些範例並不具備萬無一失的安全性，因此無法如此簡單地使用。 您必須對 SQL 插入進行防護。 如需其他資訊，請參閱 SQL 插入和防止方法。

ASP_VBS

之前：

之後：

ColdFusion

之前：

之後：

PHP_MySQL

之前：

之後：

建立/升級現有擴充功能以產生動態參數，同時將資料錄集維持為可從 Dreamweaver 內部編輯

現在，請考慮與上方相同的情境，但這次使用者想要建立的是會產生適當程式碼的擴充功能，而不需要結合內建功能和手動編輯。 新的擴充功能應該會對 ASP_VBS、ColdFusion 和 PHP_MySQL 伺服器模型產生正確的程式碼。

重要：在以下區段中，我們只會專注在產生會使用來自 URL 參數之值的程式碼，以建立動態 SQL 查詢。 主要重點在於產生程式碼，因此 Dreamweaver 仍然會加以識別，也能夠在標準 Dreamweaver 介面中加以編輯。 此教學課程不會處理輸入資料的驗證 (透過 URL 參數) 或保護最終的 SQL 以防止任何 SQL 插入嘗試，因為此類程式碼的複雜度超出本教學課程的範圍。 開發人員僅負責保護最終的 SQL，使其免於受到 SQL 插入的攻擊。

我們提供了一個示範擴充功能，能夠將連線和表做為輸入，並產生顯示所有記錄的動態表。 它也會更新所產生的 SQL，使其含有 orderBy 變數，如上方範例所示。 此擴充功能是專為 Dreamweaver 8.0.2 和 CS3 所設計。 所產生的程式碼不具備萬無一失的安全性，因為目標是使用標準 Dreamweaver 介面來建立含有維持可編輯之動態參數的資料錄集。 擴充功能來源程式碼位於使用者的設定檔案夾中。

在下方所有程式碼範例中，都新增了特別標示的區段來啟用透過 URL 參數 sortCol 和 sortDir 排序的功能。

ASP_VBS

為 ASP_VBS 伺服器模型產生適當 SQL 查詢的程式碼位在使用者設定檔案夾的「[USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js」檔案中。 顯著的變更在行 130：

MyDynamicTable ASP_VBS 伺服器行為的參與者檔案會包括一個額外的參與者，因此會對頁面新增「orderBy」變數定義：

ColdFusion

使用者設定檔案夾中的相同「USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js」也含有 ColdFusion 伺服器模型的程式碼，此案例的相關變更在行 138：

MyDynamicTable ColdFusion 伺服器行為的參與者檔案會包括一個額外的參與者，因此會對頁面新增「orderBy」變數定義：

PHP_MySQL

擴充功能中的最後一個伺服器模型是 PHP_MySQL。 使用者設定檔案夾中「[USER_CONFIGURATION_FOLDER]/Commands/My Dynamic Table.js」檔案的相關變更在行 122。

MyDynamicTable PHP_MySQL 伺服器行為的參與者檔案會包括一個額外的參與者，因此會對頁面新增「orderBy」變數定義：

優點

上方所述的方法有多個優勢，包括：

• 開發人員更能夠更進階地運用 SQL 插入的漏洞來建構動態上更為複雜的 SQL。
• 所建立的資料錄集仍然可以從 Dreamweaver 內部編輯。
• 整合到透過動態 SQL 參數產生資料錄集的現有 Dreamweaver 擴充功能並不困難。
• Dreamweaver 產生的預設程式碼會保持不變，因此不需要動態查詢的開發人員 (及其客戶) 可以感到安心，因為 Dreamweaver 寫入的程式碼是安全的。

缺點

因為 Dreamweaver 的設計預設不支援此方法，因此也有一些缺點，包括：

• 使用此文件所述的方法產生的程式碼很容易受到 SQL 插入攻擊，因此需要透過其他方式加以保護。 此類保護方法的清單包括但不限於：
  • 確保一般使用者無法使用 SQL 插入方法來入侵網頁和/或資料庫。
  • 在引數達到實際 SQL 之前加以逸出。
  • 即便使用者得以入侵您的程式碼，也請確保他們無法竊取敏感資訊和/或無法入侵資料庫。
• 有兩個已知問題必須直到發行下一個版本的 Dreamweaver 時才能修正：
  • ColdFusion：在編輯並重新套用時，簡易資料錄集使用者介面會將變數名稱前後的雜湊從 SQL 查詢中移除
  • ColdFusion、ASP_VBS、ASP_JS：SQL 查詢含有變數名稱時，進階資料錄集使用者介面的「測試」按鈕無法使用

尋找使用者的設定檔案夾

• Windows XP
  
  C:\Documents and Settings\[username]\Application Data\Adobe\Dreamweaver 9\Configuration

• Windows Vista
  
  C:\Users\[username]\AppData\Roaming\Adobe\Dreamweaver 9\Configuration

• Mac OS 10.4.x
  
  /Users/[username]/Library/Application\ Support/Adobe/Dreamweaver\ 9/Configuration