ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

УДК 004

УЯЗВИМОСТЬ К SQL-ИНЪЕКЦИЯМ В ДЕЙСТВУЮЩЕМ

WEB ПРИЛОЖЕНИИ

THE VULNERABILITY OF THIS SQL-INJECTION

IN THE CURRENT WEB APPLICATION

А.В. Меньшиков

Сибирский государственный автомобильно-дорожный университет (СибАДИ), Россия, г. Омск

Аннотация. Статья посвящена SQL-инъекциям, которые в свою очередь являются

одними из самых серьезных и опасных уязвимостей приложений, работающих с СУБД. И хотя методы защиты от подобных атак существуют, не всегда приложение оказывается достаточно защищено, поэтому важно понимать, как обнаружить и закрыть данную уязвимость в своем приложении и как она может быть использована злоумышленником.

Ключевые слова: SQL-инъекции, уязвимости web приложений, атаки на СУБД.

Введение

Что представляют из себя SQL инъекции? Это некий «кусок» кода, а именно SQL запроса который может быть встроен т.е. добавлен в другой запрос, при этом система управления базами данных (СУБД), которая должна была выполнить «безобидный» запрос, выполнит то чего пожелал от нее злоумышленник и что в свою очередь может привести к очень нехорошим последствиям.

Почему это важно? В настоящее время практически все люди уже давно активно 748 пользуются интернетом и тем огромным количеством ресурсов, которые он предоставляет.

Люди стали общаться в социальных сетях, оплачивать покупки, заказывать билеты на транспорт и многое другое, но для этого они предоставляют некую информацию о себе так же, как и приложение предоставляет некоторую информацию самим пользователям. Вся эта информация хранится на серверах в виде больших баз данных, к которым мы получаем доступ в виде запроса и выбираем те данные, которые нам нужно или которые предоставила система. Но благодаря SQL инъекциям мы можем осуществлять действия, которые не были изначально заложены в системе.[2]

Как известно SQL-инъекции разделяют на несколько типов. Это разделение основано на

методе (приеме), с помощью которого и определяют данную уязвимость. Таким образом, существует разделение на пять типов:

1)Union SQL-инъекция. Использование данной техники основано на применении

оператора UNION, который позволяет объединить результаты выполнения двух или более запросов SELECT. Использование данной техники заключается в добавлении нужного запроса SELECT при помощи оператора UNION к первоначальному запросу. Для корректности результирующего запроса, полученного при помощи оператора UNION, необходимо, чтобы у двух выражений SELECT совпадало количество и тип аргументов.

2)Error-based SQL-инъекция. Данная техника используется, когда приложение некорректно

обрабатывает исключения, возникающие при работе с СУБД, и сообщение о возникшем исключении отображается пользователю.

3)Blind SQL-инъекция. В случае если нельзя использовать Union и Error-based SQL-

инъекцию: результат выполнения запроса не отображается пользователю либо приложение корректно обрабатывает исключения. Однако если при этом, модифицируя запрос, можно влиять на логику работы приложения: при определенных входных данных некоторые страницы отображаются неправильно или запрос возвращает только часть информации. В этом случае можно использовать технику Blind SQL. Составляется SQL-выражение, которое при истинном

значении не нарушает логику работы приложения. При ложном же значении возникает

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

аномальное поведение в работе приложения: страницы неправильно отображаются либо возвращается только часть данных.

4)Time-based SQL-инъекция. Данная техника похожа на Blind SQL-инъекцию. Также составляется SQL-выражение, но анализируется не возвращаемый результат, а время отклика сервера СУБД. При ложном значении SQL-выражения время отклика незначительно, а при

истинном значении составляет несколько секунд.

5)Out-bound SQL-инъекция. В случае если ни одна из вышеперечисленных техник эксплуатации SQL-инъекций не применима можно воспользоваться Out-bound техникой. Для

применения данной техники необходим удаленный сервер, который находится под контролем злоумышленника, либо доступ к директории на сервере СУБД. Техника заключается в следующем: злоумышленник направляет вывод результата SQL-запроса на удаленный сервер,

используя протоколы DNS, HTTP, SMTP, или осуществляет запись в файл, который расположен

вдоступной для злоумышленника директории на сервере СУБД.[1][3]

749

Рисунок 1 – Cхема выявления и эксплуатации SQL-инъекций

Но почему же возникает подобная уязвимость? Во-первых, это создание динамических

запросов так как имеется необходимость именно генерировать запрос и при этом если

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Аннотация. В работе рассматриваются возможности систем управления информационной безопасностью по сбору, накоплению и обработке информации о событиях, регистрируемых средствами информационной инфраструктуры организации. Обосновывается актуальность применения методов поддержки принятия решений для оценки эффективности таких систем.

Ключевые слова: событие информационной безопасности, инцидент информационной безопасности, система управления информационной безопасностью, регистрация событий информационной безопасности, расследование инцидентов информационной безопасности.

Введение

В современном обществе для любой крупной организации информация является одним из самых главных бизнес-активов, и вовремя не устраненные и известные нарушителям

уязвимости в обеспечении информационной безопасности (ИБ) могут привести к катастрофическим финансовым, репутационным и иным существенным потерям и нанести непоправимый ущерб. Поэтому остро стоит вопрос разработки эффективной и адекватной потребностям предприятия системы управления ИБ (СУИБ) и её квалифицированного внедрения и использования [1]. Основополагающей частью СУИБ является система управления инцидентами ИБ (СУИИБ). Инциденты ИБ обычно основаны на использовании не выявленных и (или) неконтролируемых уязвимостей, поэтому необходимо своевременное выявление и устранение нарушений ИБ [2].

Управление компьютерными инцидентами – это процесс или набор процессов, на вход

которых подаются данные, полученные в результате сбора и протоколирования информации о событиях, затрагивающих информационные системы, а на выходе этих процессов получают информацию о причинах произошедшего инцидента, об ущербе, нанесенном компании, и

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

-регистрационные журналы применяемых средств защиты информации, в том числе средств защиты информации от несанкционированного доступа, средств защиты от воздействия вредоносного кода, регистрационные журналы специализированных программно-

технических средств обнаружения вторжений и сетевых атак, программного обеспечения проверки целостности файлов;

-информацию специализированных устройств контроля физического доступа, в том

числе телевизионных систем охранного наблюдения, систем контроля и управления доступом и охранной сигнализации.

В приложении к [5] приведен примерный перечень типов подлежащих регистрации событий ИБ на различных уровнях информационной инфраструктуры (физический уровень, уровень сетевого оборудования, уровень сетевых приложений и сервисов, уровень операционных систем, уровень технологических и бизнес-процессов). Сбор и обработка такого количества

информации выполняется в рамках функционирования комплексной СУИБ.

СУИБ преимущественно имеют трехуровневую архитектуру АГЕНТ-СЕРВЕР-БД (рисунок 1),

которая разворачивается поверх корпоративной сети (при необходимости включая филиалы). Cбор информации о событиях ИБ и их первоначальную обработку и фильтрацию осуществляют

агенты, после чего передают на анализ серверу приложений, который является основой системы. Сервер приложений анализирует собранную информацию и преобразует ее в более высокоуровневое и удобное для анализа представление. Вся информация, собранная агентами, а также результаты анализа ее сервером приложений сохраняются в хранилище (БД) [6]. При двухуровневой архитектуре СЕРВЕР-БД (рисунок 2) информация от источников

событий поступает на сервер приложений в «сыром» виде [7]. В обоих случаях подсистем сбора и обработки сведений о событиях информационной безопасности представляет собой совокупность источников событий и приложений для обработки генерируемых ими журналов.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Рисунок 1 – Трехуровневая архитектура СУИБ [8]

753

Рисунок 2 – Двухуровневая архитектура СУИБ [8]

В таблице 1 приведена сравнительная характеристика двух типов архитектур.

Таблица 1 – Преимущества и недостатки различных архитектур СУИБ

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

На рисунке 3 представлена диаграмма распределения наиболее распространенных СУИБ, функционирующих в организациях на территориях РФ.

Рисунок 3 – СУИБ, внедряемые в Российской Федерации [9]

При выборе СУИБ необходимо учитывать в комплексе ряд основных критериев [9]:

-удобство развёртывания;

-удобство сопровождения;

-поддержка источников событий;

-обучаемость;

-формирование отчётов;

-соответствие требованиям нормативно-правовых актов.

В таблице 2 перечислены основные показатели, которые учитываются при оценивании

Результаты комплексной оценки СУИБ по выбранным критериям эффективности лишь отчасти могут объяснить предпочтения потребителей. Ведущими аналитиками выделено свыше

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.