analisi e gestione della sicurezza di una complessa applicazione ...

CAPITOLO VI - Gli attacchi e il progetto OWASP
Questa costituisce la migliore soluzione per fronteggiare la SQL Injection, ma la sicurezza non
si costruisce mai su un solo fronte. Oltre a scrivere codice sicuro è fondamentale aggiungere le
altre contromisure (citate precedentemente) sulla configurazione del database server.
6.2.4 Proteggersi dalla SQL injection
Come si è già accennato, l’unica possibilità di protezione è un controllo sui dati ricevuti da
parte del programmatore, durante lo sviluppo del programma. In altre parole, bisogna
assicurarsi che l’input ricevuto rispetti le regole necessarie, e questo può essere fatto in diversi
modi:
- controllare il tipo dei dati ricevuti (se ad esempio ci si aspetta un valore numerico,
controllare che l’input sia un valore numerico);
- forzare il tipo dei dati ricevuti (se ad esempio ci si aspetta un valore numerico, si può
forzare l’input affinché diventi comunque un valore numerico);
- filtrare i dati ricevuti attraverso le espressioni regolari (regex);
- sostituire i caratteri pericolosi con equivalenti caratteri innocui (ad esempio in entità
html);
Ovviamente, questi metodi possono essere applicati anche insieme sullo stesso dato in input. La
scelta varia a seconda delle tipologie di questi dati. Occorre, quindi, prestare particolare
attenzione a tutte le varianti di un input, tenendo conto di ogni possibile (oppure improbabile)
ipotesi.
122