Owasp top 10 Security Risks & Vulnerabilities Note

From these recommendations you can abstract two things:

• 
  Separation of data from the web application logic.
  
• 
  Implement settings and/or restrictions to limit data exposure in case of successful injection attacks.
  

Without appropriate measure in place, code injections represent a serious risk to website owners. These attacks leverage security loopholes for a hostile takeover or the leaking of confidential information.

Yuqorida ko'rsatilgan SQL in'ektsiyasi nozik ma'lumotlarning sizib ketishiga olib kelishi va butun WordPress o'rnatilishini buzishi mumkin. Kodni kiritishda zaifliklarni qanday oldini olasiz? Kodni kiritishda zaifliklarning oldini olish haqiqatan ham veb-saytingizda foydalanayotgan texnologiyaga bog'liq. Misol uchun, agar siz WordPress-dan foydalansangiz, o'rnatilgan plagin va mavzularni minimal darajada saqlash orqali kodni kiritish zaifliklarini kamaytirishingiz mumkin. Agar sizda moslashtirilgan veb-ilova va maxsus ishlab chiquvchilar jamoasi bo'lsa, dasturiy ta'minotni loyihalash va yozishda ishlab chiquvchilaringiz rioya qilishlari mumkin bo'lgan xavfsizlik talablariga ega ekanligiga ishonch hosil qilishingiz kerak. Bu ularga loyihaning hayot aylanishi davomida xavfsizlik haqida o'ylash imkonini beradi. Quyida SQL in'ektsiyalarining oldini olish bo'yicha OWASP texnik tavsiyalari keltirilgan: SQL in'ektsiyalarining oldini olish ma'lumotlarni buyruqlar va so'rovlardan alohida saqlashni talab qiladi. Ma’qul variant xavfsiz API’dan foydalanish bo‘lib, u tarjimondan to‘liq foydalanishdan qochadi yoki parametrlangan interfeysni ta’minlaydi yoki ob’yekt bilan bog‘liq xaritalash vositalaridan (ORMs) foydalanishga o‘tadi. Eslatma: Parametrlashtirilgan bo'lsa ham, PL/SQL yoki T-SQL so'rovlar va ma'lumotlarni birlashtirsa yoki EXECUTE IMMEDIATE yoki exec() bilan dushman ma'lumotlarni bajarsa, saqlangan protseduralar SQL in'ektsiyasini joriy qilishi mumkin. Ijobiy yoki "ruxsat etilgan ro'yxat" server tomonida kiritish tekshiruvidan foydalaning. Bu to'liq himoya emas, chunki ko'pgina ilovalar mobil ilovalar uchun matn maydonlari yoki API kabi maxsus belgilarni talab qiladi. Har qanday qoldiq dinamik so'rovlar uchun ushbu tarjimon uchun maxsus escape sintaksisidan foydalanib, maxsus belgilardan qochish. Eslatma: Jadval nomlari, ustun nomlari va boshqalar kabi SQL tuzilmasidan qochish mumkin emas, shuning uchun foydalanuvchi tomonidan taqdim etilgan tuzilma nomlari xavflidir. Bu hisobot yozish dasturlarida keng tarqalgan muammo. SQL in'ektsiyasi holatida yozuvlarning ommaviy oshkor etilishini oldini olish uchun so'rovlar ichida LIMIT va boshqa SQL boshqaruvlaridan foydalaning. Ushbu tavsiyalardan siz ikkita narsani ajratib ko'rsatishingiz mumkin: Veb-ilova mantig'idan ma'lumotlarni ajratish. Muvaffaqiyatli inyeksion hujumlar sodir bo'lgan taqdirda ma'lumotlarga ta'sir qilishni cheklash uchun sozlamalar va/yoki cheklovlarni amalga oshiring. Tegishli choralar ko'rilmasa, kodni kiritish veb-sayt egalari uchun jiddiy xavf tug'diradi. Ushbu hujumlar dushmanlarcha egallab olish yoki maxfiy ma'lumotlarning sizib chiqishi uchun xavfsizlik bo'shliqlaridan foydalanadi.