프로그래머가 SQL 주입에 취약한 코드 작성을 중지하도록하려면 어떻게해야합니까?

때로는 바빠서 소규모 작업을 주니어 프로그래머에게 위임하기도합니다. 그러나 충분히주의를 기울이지 않으면 프로덕션에서 이러한 종류의 코드를 발견하게됩니다.

class DivtoggleController extends Zend_Controller_Action {

    public function closeAction() {
        /* ... code removed for brevity ... */

        $req = $this->getRequest();
        $formData = $req->getPost();

        $d = $formData['div'];
        $i = $formData['id'];

        $dm = new Model_DivtoggleManager();
        $rs = $dm->setDivToggleById($d, $i);

    }

}


class Model_DivtoggleManager extends Zend_Db_Table {

    public function setDivToggleById($div, $id) {
        $result = $this->getAdapter()->query(
           "update div_toggle set " . $div . "=1 where id=" . $id
        );
    }

}

간결성을 위해 인증 / 세션 관리 로직을 제거했다면 누가이 샘플에 어떤 문제가 있는지 알려줄 수 있습니까?

당신은 그들을 가르 칠 수 있습니다. 모든 사람은 처음에, 심지어 당신도 이것을합니다. 이러한 유형의 코드가 프로덕션 환경에 들어가면 이는 선임 직원의 잘못입니다. 주니어가 아닙니다.

편집하다:

내가 한 일 중 하나는 개인적으로 사람들에게 릴리스 전에 내 코드 (주니어 포함)를 검토하도록 요청하는 것입니다. 코드는 검토되고, 주니어 사람들은 코드를 학습 경험으로보고, 사람들은 코드 검토에 대한 두려움을 처벌로 잃어 버리고 같은 일을 시작합니다.

눈 앞에서 코드를 해킹 한 다음 수정 방법을 보여줍니다. 그들이 이해할 때까지 계속해서.

소스 제어 액세스 권한을 갖기 전에 회사에 입사하자마자 SQL 인젝션, 사이트 간 스크립팅, 사이트 간 요청 위조 및 기타 일반적인 취약점을 소개합니다. 예를 직접 대면하고, 잘못된 코드를 깨뜨리고, 잘못된 코드를 깨뜨리고, "졸업생"이되면 OWASP 사이트를 통해 더 많은 정보를 얻으십시오.

이를 처리하는 커스텀 라이브러리의 사용을 추가로 지시 할 수 있지만, 이것이 더 편리 해지면 커스텀 쿼리를 실행할 것이기 때문에 보조 솔루션 일뿐입니다.

당신이 자원을 가지고 있다면, 커밋하기 전에 팀의 더 많은 선임 멤버들이 diff를 확인하도록하는 것도 유용 할 수 있습니다.

아는 것이 힘이다!

다른 사람이 어떤 수준의 개발자라고 언급 한 것이 안전하지 않다고 가정하면 getPost ()가 데이터를 먼저 보호하지 않는다는 것을 쉽게 잊을 수 있습니다.

이 문제를 해결하는 한 가지 방법은 다음과 같습니다.

1. 모든 POST / GET 데이터를 가져 와서 'insecure_data'라는 싱글 톤 클래스에 그대로 쓰는 클래스를 작성하십시오. 그런 다음 POST / GET 배열을 지우십시오.
2. 개발자는 POST / GET 배열이 아닌 'insecure_data'배열에서 POST / GET 데이터를 검색해야합니다.

'insecure_data'라는 배열에서 무언가를 검색하고 보안을 신경 쓰지 않는 개발자는 무지하거나 게으른 것입니다. 전자의 경우 교육을 제공 한 후 교육을 제공해야합니다. 그 후의 교육은 프로그래밍 문제가 아닌 징계 문제가 있습니다.

웹 보안에 관해 읽은 최고의 안내서 중 하나는이 Ruby on Rails 보안 안내서입니다. Ruby on Rails이지만 많은 개념이 모든 웹 개발에 적용됩니다. 나는 새로운 사람이 그 가이드를 읽을 것을 권장합니다.

쿼리에 사용중인 HTTP 입력이 정리되지 않았 mysql_real_escape_string거나 다른 방법 이 없기 때문에 위에서 연결 한 코드는 SQL 주입 공격에 취약합니다 .

귀하의 (아마도 프로그래머 가이 작업을 중단하도록 할 수있는 방법) 질문에 관해서는 정기적으로 멘토링하고 문제의 문제 (및 잠재적 인 낙진 등)를주의 깊게 설명하고 강조합니다. SQL 취약점 및 사이트 간 스크립팅 등의 측면에서 코드 취약점의 중요성은 아마도 가장 합리적인 솔루션 일 것입니다.

위의 모든 사항 에도 불구하고 계속 엉망이된다면 ( "라이브"를 찾는 대신 커밋 등을 주시하고 싶을 수도 있습니다), 문제는 당신이 멘토로서 실패하고 있다는 것입니다. 그들은 아마도 생계를 위해 더 적합한 것을 찾아야 할 것입니다.