การป้องกันการแทรก SQL ใน Node.js

เป็นไปได้หรือไม่ที่จะป้องกันการแทรก SQL ใน Node.js (โดยเฉพาะอย่างยิ่งกับโมดูล) ในลักษณะเดียวกับที่ PHP มีคำสั่งที่เตรียมไว้ซึ่งป้องกันพวกเขา

ถ้าเป็นเช่นนั้นอย่างไร? หากไม่เป็นเช่นนั้นตัวอย่างใดบ้างที่อาจข้ามรหัสที่ฉันให้ไว้ (ดูด้านล่าง)

บริบทบางส่วน:

ฉันกำลังสร้างเว็บแอปพลิเคชันที่มี back-end stack ซึ่งประกอบด้วย Node.js + MySql โดยใช้โมดูลnode-mysql จากมุมมองด้านการใช้งานโมดูลนี้ยอดเยี่ยมมาก แต่ยังไม่ได้ใช้บางสิ่งที่คล้ายกับคำสั่งเตรียมการของ PHP (แม้ว่าฉันจะทราบว่าเป็นสิ่งที่ต้องทำ )

จากความเข้าใจของฉันการใช้ PHP ของคำสั่งที่เตรียมไว้เหนือสิ่งอื่นใดช่วยอย่างมากในการป้องกันการแทรก SQL อย่างไรก็ตามฉันกังวลว่าแอป node.js ของฉันอาจเปิดรับการโจมตีที่คล้ายกันแม้ว่าจะมีการหลีกเลี่ยงสตริงที่ให้ไว้โดยค่าเริ่มต้นก็ตาม (ดังในข้อมูลโค้ดด้านล่าง)

node-mysql ดูเหมือนจะเป็นตัวเชื่อมต่อ mysql ที่ได้รับความนิยมมากที่สุดสำหรับ node.js ดังนั้นฉันจึงสงสัยว่าคนอื่นอาจทำอะไร (ถ้ามี) เพื่ออธิบายปัญหานี้ - หรือแม้ว่าจะเป็นปัญหากับ node.js ที่จะเริ่มต้นด้วย (ไม่แน่ใจว่าจะไม่เป็นเช่นไรเนื่องจากอินพุตฝั่งผู้ใช้ / ไคลเอ็นต์เกี่ยวข้อง)

ฉันควรเปลี่ยนไปใช้node-mysql-nativeในขณะนี้เนื่องจากมีคำสั่งที่เตรียมไว้หรือไม่ ฉันลังเลที่จะทำสิ่งนี้เพราะดูเหมือนว่าจะไม่ทำงานเท่า node-mysql (แม้ว่านั่นอาจหมายความว่ามันเสร็จสมบูรณ์แล้วก็ตาม)

นี่คือตัวอย่างของรหัสการลงทะเบียนผู้ใช้ซึ่งใช้โมดูลเจลทำความสะอาดพร้อมกับไวยากรณ์คำสั่งคล้ายคำสั่งที่เตรียมไว้ของ node-mysql (ซึ่งตามที่ฉันได้กล่าวไว้ข้างต้นจะทำให้อักขระหลบหนี) เพื่อป้องกันการเขียนสคริปต์ข้ามไซต์และการแทรก sql ตามลำดับ:

// Prevent xss
var clean_user = sanitizer.sanitize(username);

// assume password is hashed already
var post = {Username: clean_user, Password: hash};

// This just uses connection.escape() underneath
var query = connection.query('INSERT INTO users SET ?', post,
   function(err, results)
   {
       // Can a Sql injection happen here?
   });

node-mysqlห้องสมุดดำเนินการโดยอัตโนมัติ Escape ที่เมื่อนำมาใช้ในขณะที่คุณกำลังทำอยู่แล้ว ดูhttps://github.com/felixge/node-mysql#escaping-query-values

ไลบรารีมีส่วนใน readme เกี่ยวกับการหลบหนี มัน Javascript พื้นเมืองดังนั้นผมจึงไม่แนะนำให้เปลี่ยนไปใช้โหนด MySQL พื้นเมือง เอกสารระบุแนวทางเหล่านี้สำหรับการหลบหนี:

แก้ไข: node-mysql-nativeยังเป็นโซลูชัน Pure-Javascript

• ตัวเลขไม่ถูกแตะต้อง
• บูลีนถูกแปลงเป็นtrue/ falseสตริง
• อ็อบเจ็กต์วันที่ถูกแปลงเป็นYYYY-mm-dd HH:ii:ssสตริง
• บัฟเฟอร์จะถูกแปลงเป็นสตริงเลขฐานสิบหกเช่น X'0fa5'
• สตริงหนีได้อย่างปลอดภัย
• อาร์เรย์จะกลายเป็นรายการเช่น['a', 'b']เปลี่ยนเป็น'a', 'b'
• อาร์เรย์ที่ซ้อนกันจะเปลี่ยนเป็นรายการที่จัดกลุ่ม (สำหรับการแทรกจำนวนมาก) เช่น[['a', 'b'], ['c', 'd']]เปลี่ยนเป็น('a', 'b'), ('c', 'd')
• วัตถุจะกลายเป็นkey = 'val'คู่ วัตถุที่ซ้อนกันจะถูกส่งไปยังสตริง
• undefined/ nullถูกแปลงเป็นไฟล์NULL
• NaN/ Infinityถูกทิ้งไว้ตามที่เป็นอยู่ MySQL ไม่รองรับสิ่งเหล่านี้และการพยายามแทรกเป็นค่าจะทำให้เกิดข้อผิดพลาด MySQL จนกว่าจะใช้การสนับสนุน

สิ่งนี้ช่วยให้คุณทำสิ่งต่างๆดังนี้:

var userId = 5;
var query = connection.query('SELECT * FROM users WHERE id = ?', [userId], function(err, results) {
  //query.sql returns SELECT * FROM users WHERE id = '5'
});

เช่นเดียวกับสิ่งนี้:

var post  = {id: 1, title: 'Hello MySQL'};
var query = connection.query('INSERT INTO posts SET ?', post, function(err, result) {
  //query.sql returns INSERT INTO posts SET `id` = 1, `title` = 'Hello MySQL'
});

นอกเหนือจากฟังก์ชันเหล่านี้คุณยังสามารถใช้ฟังก์ชัน Escape:

connection.escape(query);
mysql.escape(query);

ในการหลีกเลี่ยงตัวระบุการค้นหา:

mysql.escapeId(identifier);

และเป็นการตอบสนองต่อความคิดเห็นของคุณเกี่ยวกับข้อความที่เตรียมไว้:

จากมุมมองด้านการใช้งานโมดูลนี้ยอดเยี่ยมมาก แต่ยังไม่ได้ใช้บางสิ่งที่คล้ายกับคำสั่งเตรียมการของ PHP

คำสั่งที่เตรียมไว้จะอยู่ในรายการสิ่งที่ต้องทำสำหรับตัวเชื่อมต่อนี้ แต่อย่างน้อยโมดูลนี้ก็อนุญาตให้คุณระบุรูปแบบที่กำหนดเองซึ่งอาจคล้ายกับคำสั่งที่เตรียมไว้มาก นี่คือตัวอย่างจาก readme:

connection.config.queryFormat = function (query, values) {
  if (!values) return query;
  return query.replace(/\:(\w+)/g, function (txt, key) {
    if (values.hasOwnProperty(key)) {
      return this.escape(values[key]);
    }
    return txt;
  }.bind(this));
};

สิ่งนี้จะเปลี่ยนรูปแบบการสืบค้นของการเชื่อมต่อเพื่อให้คุณสามารถใช้คิวรีดังนี้:

connection.query("UPDATE posts SET title = :title", { title: "Hello MySQL" });
//equivalent to
connection.query("UPDATE posts SET title = " + mysql.escape("Hello MySQL");

ฉันรู้ว่านี่เป็นโพสต์ที่เก่ากว่า แต่ดูเหมือนว่าจะไม่มีการทำเครื่องหมายคำตอบดังนั้นฉันจะโยนสิ่งนี้ออกไป

ในการทดสอบว่าโมดูลที่คุณใช้นั้นปลอดภัยหรือไม่มีหลายเส้นทางที่คุณสามารถทำได้ ฉันจะพูดถึงข้อดี / ข้อเสียของแต่ละข้อเพื่อให้คุณสามารถตัดสินใจได้อย่างมีข้อมูลมากขึ้น

ขณะนี้ไม่มีช่องโหว่ใด ๆ สำหรับโมดูลที่คุณใช้อย่างไรก็ตามสิ่งนี้มักนำไปสู่ความรู้สึกปลอดภัยที่ผิดพลาดเนื่องจากอาจมีช่องโหว่ที่ใช้ประโยชน์จากโมดูล / แพ็คเกจซอฟต์แวร์ที่คุณใช้อยู่และคุณจะไม่ได้รับการแจ้งเตือน กับปัญหาจนกว่าผู้ขายจะใช้การแก้ไข / แพตช์

1. เพื่อให้ทันกับช่องโหว่คุณจะต้องติดตามรายชื่ออีเมลฟอรัม IRC และการสนทนาอื่น ๆ ที่เกี่ยวข้องกับการแฮ็ก PRO: บ่อยครั้งคุณจะตระหนักถึงปัญหาที่อาจเกิดขึ้นภายในไลบรารีก่อนที่ผู้ขายจะได้รับการแจ้งเตือนหรือออกโปรแกรมแก้ไข / แก้ไขเพื่อแก้ไขช่องทางที่อาจเกิดขึ้นจากการโจมตีซอฟต์แวร์ของพวกเขา ข้อเสีย: อาจใช้เวลานานและใช้ทรัพยากรมาก หากคุณกำหนดเส้นทางบอทโดยใช้ฟีด RSS การแยกวิเคราะห์บันทึก (บันทึกการแชท IRC) และหรือเว็บสแครปเปอร์โดยใช้วลีสำคัญ (ในกรณีนี้คือ node-mysql-native) และการแจ้งเตือนจะช่วยลดเวลาที่ใช้ในการหมุนทรัพยากรเหล่านี้

2. สร้าง fuzzer ใช้fuzzerหรือกรอบช่องโหว่อื่น ๆ เช่นmetasploit , sqlMapเป็นต้นเพื่อช่วยทดสอบปัญหาที่ผู้ขายอาจไม่ได้มองหา PRO: นี่สามารถพิสูจน์ได้ว่าเป็นวิธีการยิงที่แน่นอนในการตรวจสอบให้อยู่ในระดับที่ยอมรับได้ว่าโมดูล / ซอฟต์แวร์ที่คุณใช้นั้นปลอดภัยหรือไม่สำหรับการเข้าถึงของสาธารณะ ข้อเสีย: สิ่งนี้ใช้เวลานานและมีค่าใช้จ่ายสูง ปัญหาอื่น ๆ จะเกิดจากผลบวกที่ผิดพลาดรวมทั้งการทบทวนผลลัพธ์ที่ไม่มีการศึกษาซึ่งปัญหาอยู่ แต่ไม่ได้สังเกตเห็น

ความปลอดภัยจริงๆและการรักษาความปลอดภัยของแอปพลิเคชันโดยทั่วไปอาจใช้เวลานานและใช้ทรัพยากรมาก สิ่งหนึ่งที่ผู้จัดการมักจะใช้คือสูตรในการกำหนดประสิทธิผลด้านต้นทุน (กำลังคนทรัพยากรเวลาการจ่ายเงิน ฯลฯ ) ของการดำเนินการสองตัวเลือกข้างต้น

อย่างไรก็ตามฉันตระหนักดีว่านี่ไม่ใช่คำตอบที่ 'ใช่' หรือ 'ไม่ใช่' ที่อาจหวังไว้ แต่ฉันไม่คิดว่าจะมีใครให้สิ่งนั้นกับคุณได้จนกว่าพวกเขาจะทำการวิเคราะห์ซอฟต์แวร์ที่เป็นปัญหา

ฉันรู้ว่าคำถามนี้เก่า แต่สำหรับทุกคนที่สนใจ Mysql-native นั้นล้าสมัยแล้วดังนั้นจึงกลายเป็นMySQL2ซึ่งเป็นโมดูลใหม่ที่สร้างขึ้นด้วยความช่วยเหลือของทีมโมดูล MySQL ดั้งเดิม โมดูลนี้มีคุณสมบัติมากกว่าและฉันคิดว่ามันมีสิ่งที่คุณต้องการเนื่องจากได้เตรียมงบไว้ (โดยใช้. execute ()) เช่นใน PHP เพื่อความปลอดภัยที่มากขึ้น

นอกจากนี้ยังมีการใช้งานมาก (การเปลี่ยนแปลงครั้งล่าสุดคือจาก 2-1 วัน) ฉันไม่ได้ลองมาก่อน แต่ฉันคิดว่าเป็นสิ่งที่คุณต้องการและอื่น ๆ

วิธีที่ง่ายที่สุดคือจัดการการโต้ตอบฐานข้อมูลทั้งหมดของคุณในโมดูลของตัวเองที่คุณส่งออกไปยังเส้นทางของคุณ หากเส้นทางของคุณไม่มีบริบทของฐานข้อมูล SQL จะไม่สามารถสัมผัสได้อยู่ดี