Come prevenire le SQL Injection in PHP

Cos'è l'SQL Injection?

L'SQL injection è una tecnica utilizzata dagli aggressori per iniettare codice SQL dannoso in un'applicazione PHP vulnerabile. Si verifica quando l'input dell'utente non viene validato o pulito correttamente prima di essere utilizzato in una query SQL. Gli aggressori sfruttano la validazione inadeguata dell'input e le query SQL dinamiche per manipolare il comportamento dell'applicazione e ottenere accesso non autorizzato al database. Creando valori di input speciali, gli aggressori possono modificare la struttura della query SQL, aggirare l'autenticazione, recuperare informazioni sensibili o persino eseguire comandi SQL arbitrari sul server del database.

Ecco un esempio di un frammento di codice PHP vulnerabile che consente l'SQL injection:

$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($connection, $query);

In questo codice, i valori $username e $password forniti dall'utente vengono concatenati direttamente nella query SQL senza alcuna validazione o pulizia. Un aggressore può sfruttare questa vulnerabilità inserendo input dannoso come:

username: admin' --
password: valorequalsiasi

La query SQL risultante sarebbe:

SELECT * FROM users WHERE username='admin' -- AND password='valorequalsiasi'

La sintassi del commento -- annulla il controllo della password, permettendo all'aggressore di aggirare l'autenticazione e ottenere accesso non autorizzato.

Tipi Comuni di Attacchi SQL Injection

Union-based SQL Injection

In questo tipo di attacco, gli aggressori utilizzano l'operatore UNION per combinare i risultati di più istruzioni SELECT ed estrarre informazioni sensibili. Aggiungendo un'istruzione SELECT dannosa alla query originale, gli aggressori possono recuperare dati da tabelle o colonne diverse che non erano destinati a essere accessibili. Questa tecnica si basa sul fatto che l'applicazione restituisca all'aggressore il risultato della query iniettata.

Esempio di SQL injection basata su union:

Query originale:

SELECT name, description FROM products WHERE id = $id

Query iniettata:

SELECT name, description FROM products WHERE id = 1 UNION SELECT username, password FROM users

La query iniettata combina la query originale con un'istruzione SELECT aggiuntiva che recupera le credenziali utente sensibili dalla tabella users.

Blind SQL Injection

La blind SQL injection si verifica quando l'applicazione non restituisce direttamente all'aggressore i risultati della query iniettata. Invece, gli aggressori inviano query create ad hoc e osservano la risposta dell'applicazione per dedurre la struttura e il contenuto del database. Lo fanno facendo comportare l'applicazione in modo diverso in base all'esito della condizione iniettata. Costruendo attentamente le query e analizzando il tempo di risposta dell'applicazione, i messaggi di errore o altri cambiamenti comportamentali, gli aggressori possono estrarre informazioni sensibili un bit alla volta.

Esempio di blind SQL injection:

Query originale:

SELECT * FROM users WHERE id = $id

Query iniettata:

SELECT * FROM users WHERE id = 1 AND SUBSTRING(password, 1, 1) = 'a'

In questo caso, l'aggressore inietta una condizione che verifica se il primo carattere della password è 'a'. Osservando la risposta dell'applicazione (ad esempio, un ritardo o un errore), l'aggressore può determinare se la condizione è vera o falsa e indovinare gradualmente la password carattere per carattere.

Error-based SQL Injection

In questa tecnica, gli aggressori provocano intenzionalmente errori SQL per raccogliere informazioni sul database e il suo schema. Lo fanno inserendo istruzioni SQL malformate o caratteri speciali che causano la generazione di messaggi di errore da parte del database. Questi messaggi di errore spesso contengono informazioni preziose come nomi di tabelle, nomi di colonne o persino porzioni di dati sensibili. Gli aggressori possono utilizzare queste informazioni per raffinare i loro attacchi e colpire parti specifiche del database.

Esempio di error-based SQL injection:

Query iniettata:

SELECT * FROM users WHERE id = 1 AND (SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT (SELECT CONCAT(username,':',password)) FROM users LIMIT 0,1), 0x3a, FLOOR(RAND(0)*2)) x FROM information_schema.tables GROUP BY x) a)

Questa query iniettata complessa tenta di estrarre username e password dalla tabella users provocando un errore che include le informazioni sensibili nel messaggio di errore.

Prevenire gli Attacchi SQL Injection

Per prevenire gli attacchi SQL injection nelle applicazioni PHP, segui queste pratiche:

Ecco un diagramma che illustra il flusso di un attacco SQL injection:

Prepared Statement

I prepared statement eseguono query SQL separando la logica SQL dall'input dell'utente. Difendono dagli attacchi SQL injection. Invece di inserire l'input dell'utente nella query SQL, i prepared statement utilizzano placeholder (ad esempio, ? o parametri nominati come :username) per i valori di input. Questi placeholder vengono successivamente associati ai valori effettivi prima di eseguire la query. Separando la struttura SQL dall'input dell'utente, i prepared statement trattano l'input come dati e non come parte del comando SQL, prevenendo l'iniezione di codice SQL dannoso.

PDO (PHP Data Objects) per i Prepared Statement

PDO (PHP Data Objects) è un'estensione in PHP che fornisce un modo coerente e sicuro per interagire con database diversi. Supporta prepared statement e query parametrizzate, rendendolo una buona scelta per prevenire le vulnerabilità SQL injection.

PDO fornisce metodi per preparare, associare ed eseguire istruzioni SQL in modo sicuro. Gestisce le differenze tra i fornitori di database, permettendoti di scrivere codice portabile e manutenibile. PDO offre anche prestazioni migliori rispetto alle funzioni MySQL tradizionali, poiché può riutilizzare lo stesso prepared statement più volte con valori di parametro diversi.

Guida all'Utilizzo dei Prepared Statement con PDO

Ecco una guida su come utilizzare i prepared statement con PDO per prevenire l'SQL injection in PHP:

1. Connettiti al database con PDO:

   $dsn = 'mysql:host=localhost;dbname=mydatabase';
   $username = 'tuo_username';
   $password = 'tua_password';
   
   try {
      $pdo = new PDO($dsn, $username, $password);
      $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
   } catch (PDOException $e) {
      die('Connessione fallita: ' . $e->getMessage());
   }

2. Prepara la query SQL con placeholder per l'input dell'utente:

   $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");

   In questo esempio, :username è un parametro nominato che serve come placeholder per il valore dell'username fornito dall'utente.

3. Associa l'input dell'utente agli placeholder:

   $username = $_POST['username'];
   $stmt->bindParam(':username', $username);

   Il metodo bindParam() associa l'input dell'utente al parametro nominato nel prepared statement. Tratta l'input come dati e non come parte del comando SQL.

4. Esegui il prepared statement:

   $stmt->execute();

   Il metodo execute() esegue il prepared statement con i valori dei parametri associati.

5. Recupera e processa i risultati:

   $user = $stmt->fetch(PDO::FETCH_ASSOC);

   Il metodo fetch() recupera il risultato dell'istruzione eseguita. Puoi specificare lo stile di fetch, come PDO::FETCH_ASSOC, per restituire un array associativo.

// Ottieni l'input dell'utente dal modulo di login
$username = $_POST['username'];
$password = $_POST['password'];

// Prepara la query SQL con placeholder
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");

// Associa l'input dell'utente agli placeholder
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);

// Esegui il prepared statement
$stmt->execute();

// Recupera il record utente
$user = $stmt->fetch(PDO::FETCH_ASSOC);

// Verifica se l'utente esiste e la password è corretta
if ($user) {
    // Utente autenticato con successo
    // Esegui azioni (ad esempio, imposta la sessione, reindirizza)
} else {
    // Username o password non validi
    // Mostra un messaggio di errore
}

Vantaggi dei Prepared Statement

• Separa la logica SQL dall'input dell'utente, prevenendo gli attacchi SQL injection
• Migliora la leggibilità e la manutenibilità del codice
• Consente il riutilizzo dello stesso prepared statement con valori di parametro diversi
• Fornisce prestazioni migliori rispetto alle funzioni MySQL tradizionali

Pratiche Consigliate

• Utilizza sempre prepared statement per le query SQL con input dell'utente
• Valida e pulisci l'input dell'utente prima di utilizzarlo nelle query SQL
• Utilizza parametri nominati per leggibilità e manutenibilità
• Implementa una configurazione sicura del database e un controllo degli accessi basato sul privilegio minimo
• Mantieni aggiornati il tuo software PHP e del database con le ultime patch di sicurezza

Tecniche di Validazione dell'Input

Oltre all'utilizzo dei prepared statement, dovresti validare e pulire l'input dell'utente prima di utilizzarlo nelle query SQL. La validazione dell'input previene gli attacchi SQL injection verificando che i dati inseriti dagli utenti corrispondano al formato previsto e contengano solo caratteri consentiti.

Il whitelisting è una buona tecnica, in cui definisci un insieme di caratteri o pattern consentiti e rifiuti qualsiasi input che non corrisponda a tali regole. Ad esempio, se ti aspetti che un utente inserisca un ID numerico, puoi validare l'input usando espressioni regolari per verificare che contenga solo cifre.

Ecco un esempio di validazione di un ID numerico usando PHP:

$id = $_POST['id'];

// Valida che l'ID contenga solo cifre
if (!preg_match('/^\d+$/', $id)) {
    // Input non valido, gestisci l'errore
    die("Formato ID non valido");
}

// Usa l'ID validato nella query SQL
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ?");
$stmt->execute([$id]);

In questo esempio, la funzione preg_match() verifica se la variabile $id contiene solo cifre. Se la validazione fallisce, viene generato un errore, impedendo che l'input non valido venga utilizzato nella query SQL.

Dovresti anche eseguire correttamente l'escape dei caratteri speciali e utilizzare i metodi di codifica appropriati. Caratteri speciali come virgolette singole, virgolette doppie e backslash possono essere utilizzati per manipolare le query SQL se non gestiti correttamente. Eseguendo l'escape di questi caratteri o utilizzando funzioni di codifica appropriate, puoi impedire che vengano interpretati come parte della sintassi SQL.

PHP ha funzioni come mysqli_real_escape_string() o PDO::quote() per eseguire l'escape dei caratteri speciali nell'input dell'utente. Tuttavia, è generalmente meglio utilizzare prepared statement con query parametrizzate invece dell'escape manuale, poiché è un approccio più affidabile e sicuro.

Ecco alcuni esempi di tecniche comuni di validazione dell'input:

Stored Procedure e Query Parametrizzate

Le stored procedure sono istruzioni SQL precompilate che vengono memorizzate nel database e possono essere chiamate dal codice dell'applicazione. Aggiungono un livello extra di sicurezza incapsulando la logica SQL complessa e limitando l'accesso alle tabelle sottostanti.

Quando utilizzi stored procedure, puoi definire parametri che accettano input dell'utente, in modo simile ai prepared statement. Passando l'input dell'utente come parametri alle stored procedure, puoi prevenire gli attacchi SQL injection poiché l'input viene trattato come dati e non come parte del comando SQL.

Ecco un esempio di stored procedure che recupera le informazioni dell'utente in base a uno username fornito:

CREATE PROCEDURE GetUserByUsername
    @Username VARCHAR(50)
AS
BEGIN
    SELECT * FROM users WHERE username = @Username
END

In questo esempio, la stored procedure GetUserByUsername accetta un parametro @Username e lo utilizza nella query SQL per recuperare le informazioni dell'utente. Il parametro viene trattato come dati, prevenendo l'SQL injection.

Per chiamare la stored procedure da PHP, puoi utilizzare PDO o MySQLi:

$username = $_POST['username'];

$stmt = $pdo->prepare("CALL GetUserByUsername(?)");
$stmt->execute([$username]);
$user = $stmt->fetch(PDO::FETCH_ASSOC);

Utilizzando stored procedure con query parametrizzate, puoi centralizzare la logica di accesso al database, migliorare le prestazioni e aumentare la sicurezza della tua applicazione PHP.

Principio del Privilegio Minimo e Ruoli Utente del Database

Il principio del privilegio minimo significa che gli utenti e le applicazioni dovrebbero avere solo i permessi minimi necessari per svolgere le loro attività. Applicare questo principio ai ruoli utente e ai permessi del database è un passo importante per prevenire l'SQL injection e ridurre l'impatto di potenziali attacchi.

Quando configuri l'utente del database per la tua applicazione PHP, limita i suoi diritti di accesso al minimo richiesto per la funzionalità dell'applicazione. Questo significa dare all'utente solo i permessi necessari per eseguire attività specifiche, come SELECT, INSERT, UPDATE o DELETE, sulle tabelle rilevanti.

Limitando i privilegi dell'utente del database, puoi ridurre il danno potenziale che un aggressore può causare se riesce a sfruttare una vulnerabilità SQL injection. Ad esempio, se l'applicazione necessita solo di accesso in lettura a determinate tabelle, all'utente del database dovrebbe essere concesso il privilegio SELECT solo su quelle tabelle, prevenendo qualsiasi modifica o eliminazione non autorizzata.