一、注入漏洞是什么？
注入漏洞，即將不受信任的數(shù)據(jù)作為命令或查詢的一部分發(fā)送到解析器時(shí)，會(huì)產(chǎn)生諸如SQL注入NoSQL注入、OS 注入和LDAP注入的注入缺陷。攻擊者的惡意數(shù)據(jù)可以誘使解析器在沒有適當(dāng)授權(quán)的情況下執(zhí)行非預(yù)期命今或訪問數(shù)據(jù)。
幾乎任何數(shù)據(jù)源都能成為注入載體，包括環(huán)境變量、所有類型的用戶、參數(shù)、外部和內(nèi)部Web服務(wù)。當(dāng)攻擊者可以向解釋器發(fā)送惡意數(shù)據(jù)時(shí)，注入漏洞產(chǎn)生。
注入漏洞十分普遍，尤其是在遺留代碼中。注入漏洞通常能在SQL、LDAP、XPath或是NoSQL查詢語句、OS命令、XML解析器、SMTP包頭、表達(dá)式語句及ORM查詢語句中找到。注入漏洞很容易通過代碼審查發(fā)現(xiàn)。掃描器和模糊測(cè)試工具可以幫助攻擊者找到這些漏洞。
注入能導(dǎo)致數(shù)據(jù)丟失、破壞或泄露給無授權(quán)方，缺乏可審計(jì)性或是拒絕服務(wù)。注入有時(shí)甚至能導(dǎo)致主機(jī)被完全接管。您的應(yīng)用和數(shù)據(jù)需要受到保護(hù)，以避免對(duì)業(yè)務(wù)造成影響。
?
二、漏洞分類
1、SQL注入
按照注入點(diǎn)類型分類
數(shù)字型、字符型、搜索型、GET 注入、POST注入、Cookie 注入、HTTP 頭部注入
按照?qǐng)?zhí)行效果來分類
基于布爾的盲注、基于時(shí)間的盲注、基于報(bào)錯(cuò)注入、聯(lián)合查詢注入、堆查詢注入、寬字節(jié)注入
2、NoSQL注入:
OS 注入、LDAP注入、HTML注入、Xpath注入、shell注入表達(dá)式注入。
?
三、漏洞產(chǎn)生的原因（威脅來源）
- 用戶提供的數(shù)據(jù)沒有經(jīng)過應(yīng)用程序的驗(yàn)證、過濾或凈化。
- 動(dòng)態(tài)查詢語句或非參數(shù)化的調(diào)用，在沒有上下文感知轉(zhuǎn)義的情況下被用于解釋器。
- 在ORM (對(duì)象關(guān)系映射，Object Relational Mapping，簡(jiǎn)稱ORM)搜索參數(shù)中使用了惡意數(shù)據(jù)，這樣搜索就獲得包含敏感或未授權(quán)的數(shù)據(jù)。
- 惡意數(shù)據(jù)被直接使用或連接，導(dǎo)致SQL語句或命令在動(dòng)態(tài)查詢或存儲(chǔ)過程中同時(shí)包含結(jié)數(shù)據(jù)構(gòu)和惡意數(shù)據(jù)。
四、漏洞產(chǎn)生的影響
- 數(shù)據(jù)丟失、損壞或篡改
- 拖庫(信息泄露)
- 奪權(quán)，執(zhí)行OS命令或惡意代碼
五、如何防御？
- 代碼審計(jì)，代碼審計(jì)是最有效的檢測(cè)應(yīng)用程序的注入風(fēng)險(xiǎn)的辦法之一;
- 不要使用動(dòng)態(tài)語句，或者參數(shù)化語句;不要使用拼接SQL語句；
- 使用安全的APl；使用存儲(chǔ)過程來執(zhí)行所有的查詢；
- 使用“最小權(quán)限”限制數(shù)據(jù)庫用戶的權(quán)限，不要使用管理員權(quán)限進(jìn)行數(shù)據(jù)庫連接；
- 使用“黑/白名單”或正則表達(dá)式，對(duì)用戶輸入的信息執(zhí)行嚴(yán)格的輸入檢查；
- 不要顯示詳細(xì)的錯(cuò)誤信息(信息泄露) ；
- 在查詢中使用LIMIT和其他SQL控件，以防止在SQL注入時(shí)大量地泄露記錄；
- 將用戶的登錄名、密碼等數(shù)據(jù)加密保存。
源代碼審計(jì) 點(diǎn)此鏈接 可免費(fèi)領(lǐng)取。另外，其中還包含第三方組件安全分析檢測(cè)，對(duì)軟件源代碼安全漏洞和軟件中的開源組件漏洞進(jìn)行全面評(píng)估，全方位提升應(yīng)用安全性。文章來源：http://www.zghlxwxcb.cn/news/detail-760726.html
免費(fèi)檢測(cè)鏈接：源代碼+組件檢測(cè)文章來源地址http://www.zghlxwxcb.cn/news/detail-760726.html
到了這里，關(guān)于Owasp Top10 漏洞解析 之注入的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
