Stored procedure’ler, veri tabanı işlemlerinde sıkça tercih edilen ve genellikle performans ile güvenliği artırmak amacıyla kullanılan fonksiyonlardır. Ancak, doğru kullanılmadıklarında veya yeterince dikkat edilmediğinde, SQL injection gibi ciddi güvenlik açıklarına neden olabilirler. Bu durumun temel nedeni, stored procedure’lerin de dışarıdan gelen girdilerle dinamik SQL ifadeleri oluşturabileceği gerçeğidir.
İşte, stored procedure kullanılırken injection oluşma risklerini artıran bazı temel nedenler ve mekanizmalar:
- Dinamik SQL kullanımı:
Stored procedure içerisinde, parametreler doğrudan veya uygun olmayan biçimde birleştirilerek SQL ifadesi oluşturuluyorsa, bu ifade kötü niyetli girdilerle manipüle edilebilir. Örneğin, aşağıdaki gibi bir örnekte:
1234567
CREATE PROCEDURE GetUserData
@UserName NVARCHAR(50)
AS
BEGIN
EXEC('SELECT * FROM Users WHERE UserName = ''' + @UserName + '''')
END
Burada, @UserName parametresi doğrudan SQL ifadesine ekleniyor. Bir saldırgan, bu parametreye
' OR '1'='1 gibi bir giriş yaparsa, sorgu tüm kullanıcıları dönebilir veya daha kötü sonuçlar doğurabilir.
- Parametrelerin uygun şekilde parametrik hale getirilmemesi:
Bazı durumlarda, görece daha güvenli görülen stored procedure’lerde bile, dinamik SQL yerine parametrik sorgular kullanmamak, injection riskini artırır. Özellikle, EXEC veya sp_executesql kullanırken, girişlerin uygun şekilde parametre olarak geçirilmesi gerekir.
- Güvenlik kontrollerinin olmaması veya yetersiz olması:
Giriş verilerinin doğrulanması, temizlenmesi ve filtrelenmesi, injection riskini azaltan en önemli önlemdir. Kullanıcıdan alınan verilerin sadece beklenen biçimde olup olmadığının denetlenmesi gerekir.
Sonuç olarak, stored procedure’lerde injection oluşma riski, temel olarak dinamik SQL ifadeleri oluşturulurken gözetilmelidir. Güvenlik için, parametrik sorgular tercih edilmeli, girişler doğrulanmalı ve mümkünse dinamik SQL kullanımı sınırlandırılmalıdır. Ayrıca, veri tabanı seviyesinde erişim kontrolleri ve least privilege (az ayrıcalık) ilkeleri de uygulandığında, bu risk büyük ölçüde azaltılır.
Bu konuda, güvenlik önlemlerinin ve doğru pratiklerin uygulanması, sistemleri olası saldırılara karşı korumanın temelini oluşturur.
