analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
"select * from users where name like ‘‘ or ‘a’ like ‘a%’ "
In sostanza la clausola “where” è sempre vera causando quindi la restituzione del contenuto
completo della tabella users.
Questo esempio non è che la punta dell’iceberg ed è solo il primo assaggio. Il peggio deve
ancora arrivare, ma questo può far riflettere gli sviluppatori poco accorti in quanto, essere
vulnerabili a questo tipo di attacco, è palesemente contrario alla normativa vigente in materia di
privacy con tutto ciò che ne consegue per legge.
Un altro punto interessante è che questo tipo di attacco non è direttamente dipendente dalla
tecnologia utilizzata o per dirlo in altri termini è un attacco cross-platform, funziona per
esempio su SQL Server, MySQL, Access, Oracle o FireBird, solo per citarne alcuni.
Naturalmente l’hacker in alcuni casi dovrà iniettare codice differente in base al database usato,
ma nessuno è immune a priori. La vulnerabilità è figlia della stessa natura del linguaggio SQL
che è espresso per mezzo di stringhe di testo; le soluzioni definitive esistono, ma purtroppo
sono snobbate da molti sviluppatori che sottovalutano la portata di questa vulnerabilità.
Fino a che punto una SQL Injection è pericolosa? Niente di meglio che un altro esempio per
rispondere a questa domanda, partendo dalla stessa query iniziale:
"select * from users where name like ‘ " + TextBox1.Text + "%’ "
l’hacker potrebbe scrivere nella TextBox (cioè iniettare) questo codice:
che risulterebbe in questa stringa:
"‘ ; select * from sys.tables -- "
"select * from users where name like ‘‘ ;
select * from sys.tables -- ‘ "
Questo statement ha tre punti fondamentali. Il primo è il ";" che permette la dichiarazione di
due distinte query all’interno di una stessa stringa; il secondo è l’uso di "--" per commentare
ciò che resta nella stringa. Non tutti i database permettono l’uso di ";" e/o di "--" ma questo non
è altro che uno degli esempi possibili. Il terzo punto è l’uso della view sys.tables di SQL2005.
In SQL2000 esiste la tabella sysobjects mentre nel MySQL esiste la tabella
INFORMATION_SCHEMA.TABLES, supportata anche da SQL2005. Ancora una volta
queste differenze non costituiscono alcun ostacolo per l’attuazione dell’injection.
117