SQL 注入是黑客攻击手册中最古老的伎俩之一……但它仍然有效。
只需几次按键操作，攻击者就能迫使您的数据库泄露机密信息，从用户名、密码到信用卡数据，不一而足。对于企业而言，此类数据泄露意味着财务损失、法律纠纷以及严重的声誉损害。
可怕的是？SQL 注入相对容易预防，但由于懒惰的编码、过时的框架和不充分的输入验证，它仍然普遍存在。
让我们修复它。
快速修复：快速阻止SQL注入的6种方法：
- 在输入到达数据库之前验证所有输入
- 使用参数化查询或准备好的语句
- 对数据库帐户强制执行最小特权原则
- 保持软件堆栈的修补和更新
- 使用 Web 应用程序防火墙 (WAF)
- 加密敏感数据以限制泄露影响
1. 在输入到达数据库之前验证所有输入
永远不要相信用户输入，即使它看起来无害。SQL 注入的根源在于糟糕的输入验证，尤其是在未检查类型、格式或长度的情况下就接受数据。
输入验证是您的第一道防线。确保用户输入干净、符合预期且严格控制。尽可能根据白名单进行验证（例如，允许的字符、值范围），并在将任何非预期内容传递给查询之前将其拒绝。
提示：将输入验证与参数化查询相结合，以实现最大程度的保护。验证可以过滤掉垃圾数据，而参数化则可确保剩余的数据不会被当作 SQL 执行。
2.使用参数化查询（准备好的语句）
别再像复制粘贴用户输入那样构建 SQL 查询了。当你连接字符串来创建查询时，攻击者可能会将恶意代码注入你的数据库。
参数化查询将用户输入与 SQL 逻辑分离，从而消除任何注入的语法。几乎所有现代编程语言和框架都支持此功能。
Python 示例：
cursor.execute（“SELECT * FROM users WHERE email=？”，（email，））
这个简单的改变会带来巨大的改变。它或许能让你的应用避免成为警示故事。
3. 应用最小特权原则
不要把数据库的钥匙交给数据库用户。如果你的应用只需要读取数据，就不要授予写入、更新或删除权限。如果它需要更新记录，就不应该拥有删除表的权限。
限制访问可以最大限度地减少有人找到入侵方法时造成的损害。它还有助于隔离应用程序特定部分的缺陷。
最佳实践：为应用程序的不同部分创建单独的数据库用户 - 每个用户仅具有所需的权限。
4. 保持堆栈更新
攻击者喜欢使用过时的软件。如果您的数据库服务器、Web 框架或 CMS 最近没有更新，那么您很可能错过了关键的安全补丁。
Tenable和Sophos等工具可以持续扫描您的基础设施，查找未修补的漏洞和过时的依赖项。
提示：设置自动警报或安排补丁周期，以领先于针对已知 SQL 注入漏洞的漏洞工具包。
5.部署Web应用程序防火墙（WAF）
可以将WAF视为应用的安全保镖。它会分析传入流量，并在恶意请求（包括 SQL 注入负载）到达您的代码之前将其拦截。这其中也包括一些更高级的技术，例如碎片化或混淆的 SQL 注入，这些技术旨在绕过简单的输入过滤器。
一些消费者友好的安全平台，例如Norton和Avast，提供功能类似于小型企业网站或 WordPress 安装的 WAF 的网络保护层。
请记住：高级站点应该考虑企业级 WAF，尤其是在处理敏感客户数据或大量流量时。
6.加密敏感数据
加密并不能阻止 SQL 注入，但它可以限制可能造成的损害。如果攻击者设法提取了您的数据库内容，您希望这些数据对他们毫无用处。
通过使用强大的单向算法（例如 bcrypt 或 Argon2）对密码进行散列来安全地存储密码，并对财务数据或 PII 等敏感记录使用对称或非对称加密。
NordLocker或Keeper等工具可以更轻松地加密文件和凭据，尤其是在远程或分布式环境中。
使用这些工具在 SQL 注入开始之前阻止它
代码是您的第一道防线，但并非唯一的防线。这些工具可以帮助您检测漏洞、保护敏感数据并确保开发工作流程的安全。
加密和凭证管理器
- NordLocker：敏感文件的端到端加密
- Keeper：具有违规监控功能的密码管理器
- LogMeOnce：内置 MFA 的身份和访问管理
- LastPass：具有团队共享功能的凭证库
威胁和漏洞检测
- Tenable：漏洞管理和威胁暴露分析
- Sophos：人工智能驱动的端点保护和实时扫描
- 趋势科技：云、端点和工作负载安全
- Malwarebytes：强大的反恶意软件和漏洞防护
用于安全开发的VPN
- NordVPN：快速、安全的 VPN，非常适合开发人员和远程工作者
- Surfshark：连接无限设备并阻止追踪器
- TunnelBear：易于使用的VPN，提供免费计划
- 私人互联网接入：开发人员的高级配置选项
- PrivateVPN：简单实惠，加密功能强大
最后的想法
SQL 注入攻击不会消失。但只需采取一些巧妙的措施，例如参数化查询和最低权限访问，就能在这些攻击触及数据之前将其阻止。
立即采取行动：审核您的代码库、扫描漏洞并加密所有重要内容。
安全并非一朝一夕就能解决的，而是一种习惯。
