Konuyu Açan
#1
Bir uygulamada kullanıcıdan gelen girdiye bağlı olarak tablo adlarının dinamik şekilde oluşturulduğu bir senaryo, güvenlik açısından ciddi riskler doğurabilir. Bu thread, dinamik tablo adlarının neden tehlikeli olduğunu, hangi tekniklerin zarar verebileceğini ve güvenli alternatifleri tartışmak için açılmıştır.
Giriş ve riskler
Dinamik tablo adları kullanmak, özellikle kullanıcı girdilerini doğrudan tablo adı olarak interpolasyon etmek anlamına gelebilir. Örneğin bir raporlama arayüzünde kullanıcıya hangi kullanıcı grubunun tablosunu görmek istediğini sorup, bu değeri tablo adı olarak kullanmak hatalı bir tasarım örneğidir. Bu durum, SQL Injection saldırılarına karşı maruz kalmayı artırır çünkü hata toleransını azaltır ve sözdizimsel bozulmalara yol açabilir. Ayrıca veritabanı şemasındaki değişiklikler (tablo adı değişiklikleri, prefix/ suffix eklemeleri) uygulama katmanında senkronizasyon sorunlarına neden olur.
Güvenlik risklerini tetikleyen mekanizmalar
- Doğrudan tablo adı olarak kullanıcı girdisi: SELECT ... FROM [kullaniciTablo] gibi desenler, izinsiz sorgu mantığına kapı aralayabilir.
- Veritabanı kullanıcı izinlerinin gereğinden fazla olması: tablo adlarını dinamik olarak değiştirmek isteyen bir uygulama, yetkilendirme açıklarını tetikleyebilir.
- Bilinçsiz veriyi doğrulamama: tablo adı tasarımları için en ufak bir doğrulama adımı olmadan gelen değerler, enjeksiyonlara zemin hazırlar.
- Hiyerarşik veya çoklu kirletme: Birden fazla tablo adını birleştirme veya alt sorgularla manipüle etme riski.
Sağlıklı tasarım yaklaşımı
- Sabit, önceden tanımlanmış tablo referansları: Uygulama katmanında tablo adlarını bir ENUM/harita ile sınırlandırın.
- Sadece parametreli sorgularla çalışın: SQL kodunda tablo adları için parametre bağlama imkanı çoğu veritabanında bulunmaz; bunun yerine, tablo adını önceden yapılan kontrollü bir eşleşme ile belirleyin ve doğrudan değişken olarak kullanmayın.
- Doğrulama ve whitelist yaklaşımı: Girilen tablo adını bir beyaz listeyle karşılaştırıp, bilinen değerler dışında hiçbir şeyi kabul etmeyin.
- ORM veya saklı işlevler kullanımı: Dinamik tablo adlarını kapalı uç noktalar halinde yöneten, güvenli arayüzler sağlayan kütüphaneleri tercih edin.
- İzleme ve güvenlik taraması: SQL Injection açıklarını tırmanışsız saptamak için düzenli güvenlik testleri ve kod incelemeleri yapın.
Örnek toparlayıcı öneri
- Eğer kullanıcıya rapor türü seçtiriyorsanız, tablo adını doğrudan alıp kullanmak yerine: rapor_turu → tablo_adı eşleşmesini içeren bir güvenli tablo haritası kurun.
- Girişleri filtrelerken sadece izin verilen değerleri kabul edin; olmayan değerler için hata döndürün, log kaydı alın.
Sizce hangi güvenlik önlemi, dinamik tablo adlarıyla çalışırken en çok hatanın önüne geçer? Tecrübelerinizi ve karşılaştığınız durumları paylaşır mısınız?
