analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
cui specificare tutto quello che l’applicazione può accettare; questa tecnica differisce dalla
duale blacklist, in cui invece viene specificato tutto quello che non deve essere accettato. Per
valori "non ammissibili" intendiamo degli input che possono generare errori anche a livello
funzionale oltre che strettamente legati alla sicurezza.
La prima soluzione è sicuramente preferibile in quanto spesso non è possibile definire in
maniera precisa cosa scartare; a questo si aggiunge la naturale evoluzione del software che
subisce periodicamente modifiche e reingegnerizzazioni. Nel caso in cui il controllo sui valori
in ingresso non sia ben implementato, si correrà il rischio di esporre l’applicazione ad una serie
di attacchi noti che vanno dal classico SQL injection, al cross site scripting, buffer overflow,
format string, e così via.
6.2.1 SQL Injection
SQL Injection consiste in un attacco informatico che sfrutta la cattiva abitudine di concatenare
le stringhe destinate ad un database server. La concatenazione delle stringhe SQL viene
solitamente associata a problemi di sicurezza, ma affligge anche performance e provoca subdoli
errori di runtime in relazione ai separatori numerici e delle date.
Prendiamo ad esempio la seguente stringa che verrà eseguita come query su un database:
"select * from users where name like ‘ " + TextBox1.Text + "%’ "
Un utente del web che dovesse cercare "Angelo" causerebbe l’esecuzione della query:
"select * from users where name like ‘Angelo%’ "
Lo sviluppatore web non ha purtroppo validato il contenuto della TextBox e un hacker
potrebbe sfruttare questa vulnerabilità semplicemente inserendo nella casella di testo la stringa:
" ‘ or ‘a’ like ‘a "
Lo statement SQL risultante dalla concatenazione sarebbe il seguente:
116