小測微軟SQL Injection漏洞掃瞄工具
1 | 21,336 |
微軟日前推出了可以掃瞄ASP原始碼是否有SQL Injection漏洞的工具,我的第一個念頭是,They really did it?
在我的認知裡,原始碼分析工具最有挑戰性的部分在於要能順著程式的邏輯跑,而不單只從字面上查,例如: Request("id")被指定成變數id,傳給函數GetInfo(id),函數中再呼叫RunGetInfoSel(id),使用者輸入的參數經過三手才被拿來組SQL指令字串(危險,勿學),除非分析工具一路追進函數中,才能解析出這裡隱含了SQL Injection的漏洞。換著角度想,分析工具幾乎要有假裝自己在執行程式碼的能力,才不容易發生疏漏。
高深的工程被做成免費的工具,當然是好事。但我對它的犀利度存疑,於是下載了工具,並寫了以下的程式來考驗它一下。以下的ASP程式裡,我故意搞了三處SQL Injection漏洞(再次警告,錯誤示範,勿學),用msscasi_asp.exe掃瞄:
1: <%
2: Dim id, sql, cnStr
3: cnStr = "Provider=MSDAORA;Data Source=TTT;User Id=xxx;Password=xxx;"
4: id = Request("id")
5: '以下寫法隱含SQL Injection漏洞,千萬不可學
6: sql = "SELECT * FROM X WHERE ID='" & id & "'"
7: RunSql sql
8: RunSql2 id
9:
10: Dim cnY,rsY
11: Set cnY=Server.CreateObject("ADODB.Connection")
12: cnY.Open cnStr
13: Set rsY=Server.CreateObject("ADODB.Recordset")
14: rsY.Open sql, cnY
15: Response.Write rsY("D")
16: rsY.Close
17: cnY.Close
18: Set cnY=Nothing
19:
20: Sub RunSql(sql)
21: Dim cnY,rsY
22: Set cnY=Server.CreateObject("ADODB.Connection")
23: cnY.Open
24: Set rsY=Server.CreateObject("ADODB.Recordset")
25: rsY.Open sql, cnY
26:
27: Response.Write rsY("D")
28: rsY.Close
29: cnY.Close
30: Set cnY=Nothing
31: End Sub
32:
33: Sub RunSql2(id)
34: Dim cnY,rsY
35: Set cnY=Server.CreateObject("ADODB.Connection")
36: cnY.Open
37: Set rsY=Server.CreateObject("ADODB.Recordset")
38: '以下寫法隱含SQL Injection漏洞,千萬不可學
39: sql = "SELECT * FROM X WHERE ID='" & id & "'"
40: rsY.Open sql, cnY
41: Response.Write rsY("D")
42: rsY.Close
43: cnY.Close
44: Set cnY=Nothing
45: End Sub
46: %>
執行結果不太理想,工具只抓到第14列一處,將有問題的SQL傳入函數執行,或是將Request("id")傳入函數中再直接組SQL,都成了漏網之魚。因此,若把第14列Remark起來,工具就找不出任何漏洞!!
結果讓人有些失望,但不意外! 要寫出可以"跑"VBScript程式的工具本來就不是簡單的事,更何況它是免費工具。大家在使用這類工具時,要把握一個原則: 有抓到表示有問題,沒抓到不代表沒問題。
自動化工具可以偷懶省工,但總難免疏漏,腳踏實地逐一人工Review,對我來說還是最可靠的方法。如果你不幸有幸在帶領團隊開發網站,記得要在動手前再三強調SQL Injection知識的宣導,可以省去事後補破網要花的龐大人力物力。
PS: 之前保哥寫過文章介紹HP提供的另一套免費偵測工具--scrawlr。做法與MS的這個工具上不太相同,並不分析程式碼本身,而是模擬這陣子很流行的游擊式SQL Injection攻擊的手法,以QueryString方式測試網站有沒有漏洞,比較屬於黑箱測試性質,涵蓋度有限,但如果只是想拿來證明網站沒穿衣服,倒是夠用。
【延伸閱讀】
Comments
# by 413x
嗯~依照小弟的經驗!!要檢測SQL inj的問題 一定要靠人~靠程式...沒甚麼用!! 有很多邏輯錯誤所造成的sql inj程式測不出來 可以去試試看hp webinspect....