2021 OWASP Top 10 A03 Injection 的攻擊

2022/07/04

A03 Injection 的攻擊介紹

容易被遭受Injection 的攻擊4種情況

．應用程式沒有做驗證、過濾或是轉化使用者提供的資料。

一般來看使用者提供的資料，直接聯想到可能是網頁所直接收進來的 Query String 的資料，或是 POST DATA 的資料，但是資料庫所進來的資料也有可能是使用者間接提供的

，或是 Http header是使用者可以直接提供的資料，因此，應該須確認資料來源是否為使用者直接提供，還是使用者間接提供的資料。

．在直譯器裡面使用的內容是沒有做跳脫或不是用參數化的呼叫。

那因為直譯器相關的語法SQL、 template、ORM和 OS 的資料因為使用者可以直接提供，或是影響的狀況，導致直譯器無法分辨的情況下就可以直接做查詢或執行。

．ORM 的搜尋參數中，使用惡意的資料來擷取額外的敏感紀錄。

ORM Injection在搜尋的參數裡面可以用一些額外的語法去影響目前所查詢的語法。

．在動態查詢、命令或是資料庫語法系統指令中，直接使用或是連結惡意資料。

以上就是所有的使用者的輸入可以去影響程式的執行，早期 Injection 是不包含所謂的 Cross-Site Scripting XSS 的攻擊，在今年度OWASP 把 Injection 跟 XSS 一次做合併。

建議確認從所有的參數、表頭、URL、cookies、JSON SOAP 或是 XML 的資料都要做一個測試，而企業應使用靜態源碼測試，或動態應用程式檢測的工具，透過 CI/CD 做上線前的部署以識別 Injection 的缺陷。

A03 Injection攻擊如何做修補跟預防

1.命令把查詢資料分開，去防止 Injection 的攻擊。

首先使用 Framework 當中相關的參數去，舉例： Prepare Statement查詢方式，

去做相對應的查詢。

2.使用正向表列或是白名單在伺服器去驗證輸入的資料。

正向表列，在 API 一開始輸入資料中寫一個正規表示式去確認資料的正確性，或是白名單的方式，也可以避免使用者做直接的輸入。

3.對於任何的動態查詢，在轉譯的中針對特殊符號去做相對應的攔截。

4.在查詢當中，使用 LIMIT 或是其它的 SQL 控制器去防止資料大量的輸出。

A03 Injection攻擊情境的範例

情境一：SQL Injection

在字串中可以看到ID 的參數，是直接從 get 的 Parameter 輸入進來的，使用者是直接操作ID 參數去做查詢和攻擊，建議使用一個正向表列去限制ID 只有數字可以做輸入，是一個有效的修補方式。

情境二：查詢

ID 輸入進程式裡，在第四行裡面一樣是利用了get Parameter 把 ID 做一個轉介，從使用者輸入轉介到查詢語法，基本上也是跟 SQL 是類似的 HQL 語法，這樣的情況下，導致使用者可以用 HQL 的語法去影響整個程式的執行。

以上兩個情境，使用者都可以用 ID單引號 or 1=1，這樣的攻擊去影響整個程式的執行，是一個標準的 SQL Injection 攻擊的情境。

總結

對應的 CWE 列表的時候，從 Command Injection OS Command Injection然後到 SQL Injection LDAP Injection，延伸到了所謂的 XSS Cross-Site Scripting 跨站腳本攻擊，以上前端的問題在這一次 Injection 裡面被包括進來了。接下來，相對應的比較新型態的 Injection，如： XML Injection，或是 HTTP Response Splitting 為CRLF 的 Injection 的攻擊，同樣地，也包括了XPath Injection 、XQery Injection及EL Injection 的問題，因此Injection 影響的範圍非常的廣，建議可以針對使用者輸入做一個確認跟過濾轉化的做法。

其他訊息

產業訊息

2021 OWASP Top 10 A03 Injection 的攻擊

其他訊息

SOC結合SOAR好嗎？ SOC安全營運中心用途與結合SOAR優點一次知！

如何查詢網址安全？專家推薦這4招，教你免費檢測網頁安全性！

IT外包費用很貴嗎？一篇搞懂IT外包5個優點和費用如何評估！

多雲管理雲端是什麼？企業多雲資安管理的5大解決方案一次看！

雲地混合是什麼？3分鐘看公有雲、私有雲及混合雲優缺點比較！

ISO 27001是什麼？企業需要導入嗎？一篇瞭解資訊管理系統的優缺點！

雲端託管好嗎？雲端託管6大優點和挑選重點懶人包！

API 金鑰洩露引發大規模虛擬機創建事件

如何有效監控雲端成本？用「用量」而非「費用」來分析異常

虛擬機登入憑證設定不當駭客侵入成為虛擬幣礦場

採用人工智慧克服銀行業的挑戰

雲端遷移策略企業數位轉型關鍵

從遊戲產業到數位平台：BigQuery 如何突破海量數據挑戰

社交工程是什麼？被攻擊該如何防範？5大資安攻擊和防範手法一次知！

企業需要用到CDN嗎？3分鐘快速瞭解CDN架構、用途和優點！

AWS是什麼？AWS雲端服務類型、優勢和使用方式一次瞭解！

DevOps和SRE差在哪？DevOps的4大優勢和相關服務推薦一次看！

如何做好雲端安全防護？推薦這6大雲端資安健診方法一次看！

IDC是什麼？我適合用嗎？挑選IDC機房3個重點和注意事項一次懂！

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

雲力橘子 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

雲力橘子 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

雲力橘子邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

雲力橘子串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

雲力橘子 2023 首發論壇，揭示藍隊能力升級、 開發／資安磨合的奧妙心法

2021 OWASP Top 10 A09資安紀錄與監控失效

2021 OWASP Top 10 A10伺服器請求偽造

安全防護：Web Application Firewall 設定教學

主動追蹤 AWS 「資源用量」，避免配額用盡造成任務失敗

我的網站慢嗎？如何檢測讓網站加速？新手必知 5 項網站優化指南！

阿里雲訪問控制與權限設置教學

該怎麼選擇 GCP Disk ?

AWS-WorkSpaces雲端桌面服務 (下集)

SOC 是什麼？SOC 資訊安全監控 v.s NOC 網路操作中心的差異？

2021 OWASP Top 10 A08軟體及資料完整性失效

OWASP前10大A07認證及驗證機制失效，瞭解如何修補及預防！

雲力橘子 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

雲力橘子 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 雲力橘子 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！

嚇！手遊資安危機　數小時恐喪失上億營收

從Google Play下載App保證安全!？資安業者：超過100款惡意程式會偷資料、點擊詐騙

網銀App漏洞金管會關注