Kaçış (Escape) karakterlerinin yanlış filtrelenmesi
SQLi'ın bu türü, kullanıcıdan gelen veri kaçış (escape) karakterlerine göre filtrelenmediği zaman uygulamaya kullanıcı girişinden yeni SQL ifadeleri eklenmesiyle oluşur. Eklenen SQL ifadeleri, son kullanıcının veritabanını istediği şekilde manipüle etmesine neden olur.
Aşağıdaki kod satırı bu güvenlik açığını göstermektedir:
sorgu = "SELECT * FROM kullanicilar WHERE isim =' " + kullaniciAdi + " ';" |
Yukarıdaki SQL sorgusu girilen kullanıcı adı bilgisine ait tüm verileri, kullanıcı tablosundan çekecek şekilde tasarlanmıştır. Sistem kullanıcı adı bekliyorken, kötü niyetli bir kullanıcı tarafından sisteme zarar verecek SQL ifadeleri yazılabilir. Örneğin, "kullaniciAdi" değişkeninde aşağıdaki gibi bir düzenleme yapılabilir:
' or '1'='1
Bu girdi, SQL ifadesinin aşağıdaki şekilde işlenmesine neden olur:
sorgu = "SELECT * FROM kullanicilar WHERE isim =' " + kullaniciAdi ' or '1' = '1 + " ';" |
Sorgunun geri kalanını engellemek için yorum satırı karakterleri kullanılır. (Aşağıda üç farklı SQL yorum satırı karakteri gösterilmiştir.). Üç satırın sonunda da bir boşluk bulunmaktadır.
' or '1'='1' --
' or '1'='1' ({
' or '1'='1' /*
Saldırgan bu SQL ifadelerini uygulamaya kullanıcı girişi olarak girerse, uygulama tabanında çalışacak sorgu aşağıdaki şekilde olur:
SELECT * FROM kullanicilar WHERE kullaniciAdi ='' or '1' = '1 + " '; |
"SELECT * FROM kullanicilar WHERE isim ='' or '1' = '1 + " ';"
"SELECT * FROM kullanicilar WHERE isim = '' OR '1'='1' -- ';
SELECT * FROM kullanicilar WHERE kullaniciAdi = '' OR '1'='1' -- '; |
kullaniciAdi verisi ne olursa olsun '1'='1' koşulu sağlanacağı için ve aradaki işlemin OR olmasından dolayı sorgu sonucu her zaman olumlu olacaktır. Yorum satırı karakterlerinden sonra gelen tüm karakterler yorum niteliği kazanacaktır ve onların bir önemi kalmayacaktır.
Aşağıdaki SQL ifadesinde "kullaniciAdi" alanına girilen değer, kullanıcılar tablosunun silinmesine ve kullanıcı bilgileri tablosundaki tüm verilerin ifşa edilmesine neden olur.
a';DROP TABLE kullanicilar; SELECT * FROM kullaniciBilgileri WHERE 't' = 't' |
Bu girdi SQL ifadesinin aşağıdaki şekilde işlenmesine neden olur:
SELECT * FROM kullanicilar WHERE kullaniciAdi = 'a'; DROP TABLE kullanicilar; SELECT * FROM kullaniciBilgileri WHERE 't' = 't'; |
Çoğu SQL sunucusu, bir çağrı ile birden fazla SQL ifadesinin yürütülmesine izin verirken, PHP'nin mysql_query() fonksiyonu gibi bazı SQL API'leri güvenlik nedenlerinden dolayı buna izin vermez. Bu durum saldırganların farklı sorgular açmalarını engeller, ancak sorguları değiştirmelerine engel değildir.
Yanlış tip işleme (Incorrect type handling)
SQLi'ın bu türü, kullanıcı tarafından girilen alanın tür kontrolü düzgün yapılmadığında oluşur. Bir SQL ifadesinde sayısal değer kullanıldığında, kullanıcının girdisinin de sayısal değer olması gereklidir. Bu kontrol yapılmadığı zaman bir güvenlik açığı oluşur. Örneğin:
sorgu = "SELECT * FROM kullaniciBilgileri WHERE id =" + deger + "; " |
Bu ifadede "id" alanına bir sayının gelmesi amaçlandığı açıktır. Ancak bir string gelmesi bekleniyorsa, son kullanıcı SQL ifadesini istediği şekilde değiştirebilir. Örneğin değer yerine aşağıdaki ifade yazılırsa:
| 1;DROP TABLE kullanicilar |
SQL ifadesi aşağıdaki şekilde olacak ve bu ifade sonucunda kullanicilar tablosu veritabanından silinecektir.
SELECT * FROM kullaniciBilgileri WHERE id=1; DROP TABLE kullanicilar; |
Körleme SQL enjeksiyonu
Körleme SQL enjeksiyonu, bir web uygulaması SQLi'na karşı açık olduğunda kullanılır ancak sonuçları saldırgan tarafından doğrudan görülemez. Güvenlik açığı bulunan sayfada veriler ifşa edilemez ama SQL ifadesinin içine gömülmüş olan mantıksal ifade nedeniyle değiştirilmiş veriler görüntülenebilir.
Koşullu yanıtlar (Conditional Responses)
Veritabanını, sıradan bir uygulamada, mantıksal bir ifadeyi değerlendirmeye zorlar. Örneğin bir kitap inceleme sitesinde, hangi kitabın görüntüleneceğini belirlemek için yandaki sorgu kullanılır. http://kitaplar.ornek.com/incelemeyiGoster.php?ID=5 URL'si sunucunun sorguyu çalıştırmasına neden olur.
SELECT * FROM kitapIncelemeleri WHERE id=Deger(ID); |
Sorgu sunucuda tamamlanır. Kullanıcı veritabanının, tablonun veya alanların adlarını ve sorgu ifadesini bilmediği için bu kısımlara müdahale edemez. Sadece yukarıdaki URL'nin bir kitap incelemesi getirdiğini görür. Saldırgan, http://kitaplar.ornek.com/incelemeyiGoster.php?ID=5 OR 1 = 1 ve http://kitaplar.ornek.com/incelemeyiGoster.php?ID=5 AND 1 = 2 URL'lerini yüklediği zaman aşağıdaki sorgulara neden olabilir:
SELECT * FROM kitapIncelemeleri WHERE id='5' OR '1'='1'; |
SELECT * FROM kitapIncelemeleri WHERE id='5' AND '1'='2'; |
Bu sorgular sonucunda "1 = 1" URL'si ile orijinal inceleme sayfası geliyorsa veya "1 = 2" URL'si boş sayfa ya da hata sayfası döndürüyorsa, sorgu büyük olasılıkla her iki durumda başarıyla geçmiştir ve site SQL enjeksiyonu saldırılarına açıktır. Hacker, sunucuda çalışan MySQL sürüm numarasını ortaya çıkarmak için tasarlanmış bu sorgu dizesiyle devam edebilir: http://kitaplar.ornek.com/incelemeyiGoster.php?ID=5AND substring(@@version, 1, INSTR(@@version, '.') - 1)=4. Bu sorgu sonrasında MySQL 4 çalıştıran bir sunucuda kitap incelemesi gösterilecek, diğer durumlarda boş sayfa veya hata sayfası gelecektir. Hacker, başka bir saldırı yolu bulana kadar veya hedeflerine ulaşılıncaya kadar sunucudan daha fazla bilgi toplamak için sorgu dizeleri içinde kod kullanmaya devam edebilir.
