Fortify漏洞之Sql Injection（sql注入）

　　公司最近启用了Fortify扫描项目代码，报出较多的漏洞，安排了本人进行修复，近段时间将对修复的过程和一些修复的漏洞总结整理于此！

　　本篇先对Fortify做个简单的认识，同时总结一下sql注入的漏洞！

一、Fortify软件介绍

　　Fortify是一款能扫描分析代码漏洞的强大工具，是由一家加州软件安全厂商开发而成，该公司成立于2003年，它于2010年被惠普收购。现在，它在惠普软件业务方面作为惠普企业安全产品的一部分，它提供软件应用程序的安全漏洞保护识别，修复产品和服务。

　　Fortify Manager（Fortify安全管理平台）是一个为安全管理团队和软件开发团队提供集中管理安全策略和Fortify SCA扫描报告的安全信息综合管理平台，它可以收集来自Fortify SCA(源代码扫描器)对多个项目扫描的结果。当开发人员和安全管理员使用Fortify SCA对多个应用软件扫描后，其结果会被存放在Fortify Manager数据库中，然后在控制台中显示出来，以便他们监视开发过程，分析关键的安全度量元，并作统计和生成详尽的报告。

二、 Fortify扫描常见漏洞 - Sql Injection（sql注入）

1.1、产生原因：

SQL injection 错误在以下情况下发生：

1、数据从一个不可信赖的数据源进入程序。

2、数据用于动态地构造一个 SQL 查询。

例 1：以下代码动态地构造并执行了一个 SQL 查询，该查询可以搜索与指定名称相匹配的项。该查询仅会显示条目所有者与被授予权限的当前用户一致的条目。

...

String userName = ctx.getAuthenticatedUserName();
String itemName = request.getParameter("itemName");
String query = "SELECT * FROM items WHERE owner = '"

+ userName +
"' AND itemname = '"+ itemName + "'";
ResultSet rs = stmt.execute(query);

...

这一代码所执行的查询遵循如下方式：

SELECT * FROM
items WHERE owner = <userName> AND itemname = <itemName>;

　　但是，由于这个查询是动态构造的，由一个不变的基查询字符串和一个用户输入字符串连接而成，因此只有在 itemName 不包含单引号字符时，才会正确执行这一查询。如果一个用户名为 wiley 的攻击者为 itemName 输入字符串“name' OR 'a'='a”，那么查询就会变成：

　　SELECT * FROM items WHERE owner = 'wiley' AND itemname = 'name' OR 'a'='a';

附加条件 OR 'a'='a' 会使 where 从句永远评估为 true，因此该查询在逻辑上将等同于一个更为简化的查询：

　　SELECT * FROM items;

这种查询的简化会使攻击者绕过查询只返回经过验证的用户所拥有的条目的要求；而现在的查询则会直接返回所有储存在 items 表中的条目，不论它们的所有者是谁。

例 2：这个例子指出了将不同的恶意数值传递给在例 1 中构造和执行的查询时所带来的各种影响。如果一个用户名为 wiley 在itemName 中输入字符串“name'; DELETE FROM items;
--”，则该查询将会变为以下：

SELECT * FROM
items WHERE owner = 'wiley' AND itemname = 'name';DELETE FROM items;--'

　　众多数据库服务器，其中包括 Microsoft(R) SQL Server 2000，都可以一次性执行（同一行）多条用分号分隔的 SQL 指令。对于那些不允许运行用分号分隔的批量指令的数据库服务器，比如 Oracle 和其他数据库服务器，攻击者输入的这个字符串只会导致错误；但是在那些支持这种操作的数据库服务器上，攻击者可能会通过执行多条指令而在数据库上执行任意命令。

图1.1.1：Oracle服务器执行批量Sql演示

　　注意成对的连字符 (--)；这在大多数数据库服务器上都表示下面的语句将作为注释使用，而不能加以执行。在这种情况下，注释字符的作用就是删除修改的查询指令中遗留的最后一个单引号。而在那些不允许这样加注注释的数据库中，通常攻击者可以如例 1 那样来攻击。如果攻击者输入字符串“name'); DELETE FROM items; SELECT * FROM items WHERE
'a'='a”就会创建如下三个有效指令：

SELECT * FROM
items WHERE owner = 'wiley' AND itemname = 'name'; DELETE FROM items; SELECT * FROM items WHERE 'a'='a';

　　简而言之，就是攻击者可能把sql语句或者一些不安全条件以参数的形式传入到程序中，然后这些sql语句或不安全条件拼接到系统原有的sql语句中，而系统没有采用预编译的方式处理原有sql语句，而是动态构造sql语句，此时就有可能导致攻击者传人进来的sql语句或是不安全条件被编译为正常的sql语句而执行了。

1.2、修复方案：

参数化查询：

a、确保sql语句不通过拼接的方式构造；

b、然后采用一些对sql语句进行预编译的执行方法；

c、最后再以参数绑定的方式设置sql语句需要的条件的值。