ฉันจะทำให้โปรแกรมเมอร์หยุดเขียนโค้ดที่เสี่ยงต่อการฉีด SQL ได้อย่างไร

บางครั้งคุณก็ยุ่งและมอบหมายงานเล็ก ๆ ให้โปรแกรมเมอร์อาวุโส แต่ถ้าคุณไม่ใส่ใจอย่างใกล้ชิดคุณจะพบว่าตัวเองใช้โค้ดประเภทนี้ในการผลิต:

class DivtoggleController extends Zend_Controller_Action {

    public function closeAction() {
        /* ... code removed for brevity ... */

        $req = $this->getRequest();
        $formData = $req->getPost();

        $d = $formData['div'];
        $i = $formData['id'];

        $dm = new Model_DivtoggleManager();
        $rs = $dm->setDivToggleById($d, $i);

    }

}


class Model_DivtoggleManager extends Zend_Db_Table {

    public function setDivToggleById($div, $id) {
        $result = $this->getAdapter()->query(
           "update div_toggle set " . $div . "=1 where id=" . $id
        );
    }

}

ดังนั้นเนื่องจากฉันได้ลบตรรกะการจัดการการรับรองความถูกต้อง / เซสชันเพื่อความกะทัดรัดใครจะบอกได้ว่ามีปัญหาอะไรที่เป็นไปได้ในตัวอย่างนี้?

คุณสามารถสอนพวกเขา ทุกคนทำสิ่งนี้ตั้งแต่แรกแม้แต่คุณ หากรหัสประเภทนี้ทำให้การผลิตเป็นความผิดปกติของผู้อาวุโส ไม่ใช่รุ่นน้อง

แก้ไข:

หนึ่งในสิ่งที่ฉันได้ทำคือฉันได้ดำเนินการเชิงรุกเพื่อขอให้คนตรวจสอบรหัสของฉัน (รวมถึงรุ่นน้อง) ก่อนปล่อย รหัสจะได้รับการตรวจสอบผู้อยู่ใต้บังคับบัญชาเห็นว่าเป็นประสบการณ์การเรียนรู้ผู้คนไม่กลัวการทบทวนรหัสเป็นการลงโทษและพวกเขาก็เริ่มทำสิ่งเดียวกัน

แฮ็กรหัสของพวกเขาต่อหน้าต่อตาพวกเขาแล้วแสดงวิธีการแก้ไข ซ้ำไปซ้ำมาจนกว่าพวกเขาจะเข้าใจ

คุณสามารถสั่งให้พวกเขาเข้าเรียนได้ทันทีที่พวกเขาเข้าร่วม บริษัท ของคุณก่อนที่พวกเขาจะสามารถเข้าถึงแหล่งการควบคุมที่แนะนำให้พวกเขารู้จักกับ SQL injections, การเขียนสคริปต์ข้ามไซต์, การปลอมแปลงคำขอข้ามไซต์และช่องโหว่อื่น ๆ ครอบคลุมตัวอย่างแบบเห็นหน้าทำลายรหัสที่ไม่ดีต่อหน้าให้พวกเขาแบ่งรหัสที่ไม่ดีและนำพวกเขาไปยังไซต์ OWASP เพื่อรับข้อมูลเพิ่มเติมเมื่อพวกเขา "สำเร็จการศึกษา"

นอกจากนี้คุณยังสามารถสั่งการใช้งานไลบรารีแบบกำหนดเองที่จัดการสิ่งนี้ให้กับคุณได้ แต่นี่เป็นเพียงวิธีการแก้ปัญหารองเนื่องจากพวกเขาจะต้องเรียกใช้คิวรีแบบกำหนดเองเมื่อสะดวกยิ่งขึ้น

หากคุณมีทรัพยากรการสร้างความมั่นใจให้สมาชิกระดับสูงของทีมยืนยันความแตกต่างของพวกเขาก่อนที่จะทำการส่งมอบก็มีประโยชน์เช่นกัน

ความรู้คือพลัง!

สมมติว่ามันเป็นความไม่ปลอดภัยที่คนอื่น ๆ ได้อ้างถึงในฐานะนักพัฒนาทุกระดับมันง่ายที่จะลืมว่า getPost () ไม่ได้รักษาความปลอดภัยของข้อมูลก่อน

วิธีหนึ่งในการทำสิ่งนี้คือ:

1. เขียนคลาสที่รับข้อมูล POST / GET ทั้งหมดและเขียนเป็นคลาสเดียวที่เรียกว่า 'insecure_data' จากนั้นล้างอาร์เรย์ POST / GET
2. นักพัฒนากว่าต้องดึงข้อมูล POST / GET จากอาร์เรย์ 'insecure_data' ไม่ใช่อาร์เรย์ POST / GET

นักพัฒนาใด ๆ ที่ดึงข้อมูลบางอย่างจากอาเรย์ที่เรียกว่า 'insecure_data' และไม่ต้องกังวลว่ามันจะปลอดภัยหรือไม่ก็ขี้เกียจ หากเป็นอดีตให้ฝึกอบรมหลังจากนั้นจะต้องเป็นหลัง - แล้วคุณมีปัญหาทางวินัยไม่ใช่การเขียนโปรแกรมหนึ่ง

หนึ่งในคำแนะนำที่ดีที่สุดที่ฉันได้อ่านเกี่ยวกับความปลอดภัยของเว็บคือคู่มือความปลอดภัยRuby on Rails แม้ว่าจะเป็น Ruby on Rails แต่มีแนวคิดมากมายที่นำไปใช้กับการพัฒนาเว็บใด ๆ ฉันอยากจะแนะนำให้ทุกคนใหม่เพื่อให้คำแนะนำการอ่าน

รหัสที่คุณเชื่อมโยงข้างต้นนั้นไวต่อการถูกโจมตีจากการฉีด SQL เนื่องจากอินพุต HTTP ที่คุณใช้ในการสืบค้นยังไม่ได้รับการทำความสะอาดด้วยmysql_real_escape_stringวิธีการอื่น ๆ

ในแง่ของคำถามที่ถามว่า "ฉันจะให้โปรแกรมเมอร์หยุดทำสิ่งนี้ได้อย่างไร" ฉันจะบอกว่าให้คำปรึกษาพวกเขาเป็นประจำอธิบายอย่างถี่ถ้วนถึงปัญหา (และความเป็นไปได้ที่จะเกิดปัญหา ฯลฯ ) และเน้นย้ำ ความสำคัญของรหัสช่องโหว่ (ทั้งในแง่ของการฉีด SQL และการเขียนสคริปต์ข้ามไซต์เป็นต้น) อาจเป็นทางออกที่เหมาะสมที่สุด

หากพวกเขายังคงเลอะเทอะแม้จะมีทั้งหมดข้างต้น (คุณอาจต้องการที่จะจับตามองความมุ่งมั่นของพวกเขา ฯลฯ แทนที่จะค้นหา "สด") แล้วปัญหาก็คือว่าคุณล้มเหลวพวกเขาในฐานะที่ปรึกษาหรือ พวกเขาอาจต้องหาสิ่งที่เหมาะสมกว่าสำหรับทำมาหากิน