Атака веб-приложений с изменением параметров строки соединения
Для связи с базами данных (БД) веб-приложения используют строку соединения. Атака с изменением параметров этой строки направлена на веб-приложения и изменяет способ их подключения к БД.
Для создания системы авторизации для приложений, как правило, применяют два способа. Первый заключается в написании своей системы авторизации, а второй (используемый наиболее часто) – в использовании возможностей СУБД. Если злоумышленнику удается получить доступ к БД, тогда он получит доступ и ко всей информации, хранящейся в этой базе, а также сможет вносить новые параметры в БД (например, отключить шифрование).
Существует несколько способов внедрения в строку соединения: изменение ее параметров, атака с изменением этих параметров. Атака с изменением параметров строки представляет собой кражу хеш-данных, сканирование портов или кражу веб-учетных данных.
Чтобы не допустить подобные атаки необходимо не только постоянно фильтровать данные, вводимые пользователем, но также своевременно обновлять применяемое программное обеспечение. Компания Microsoft выпустила соответствующий компонент безопасности для защиты от описанного вида веб-атаки — ConnectionStringbuilder. Но он не во всех приложениях используется.
Подобные атаки применимы к Oracle и другим базам данных, позволяющим устанавливать встроенную безопасность в БД. И хотя MySQL администраторам не позволяет управлять встроенной безопасностью, все-таки имеется возможность изменять строку состояния и внедрять код в попытке соединения с серверами, которые не видны из интернета. Для предотвращения атак необходима фильтрация параметров и отслеживание входящих и исходящих соединений с внешними серверами. Рекомендуется также установить режим доступа к базам данных с минимальными правами.