Técnicas para Evitar Ataques

Embora seja óbvio que um invasor deve possuir pelo menos alguns conhecimento da arquitetura de banco de dados, a fim de conduzir um sucesso ataque, a obtenção dessas informações costuma ser muito simples. Por exemplo, se o banco de dados é parte de um código aberto ou outro pacote de software com uma instalação padrão disponível publicamente , esta informação é completamente aberta e disponível. Essas informações também podem ser divulgadas por código-fonte fechado - mesmo se for codificado, ofuscado ou compilado - e até mesmo por seu próprio código, por meio da exibição de mensagens de erro. Outros métodos incluem o usuário de nomes comuns de tabelas e colunas. Para exemplo, um formulário de login que usa uma tabela de 'usuários' com nomes de colunas 'id', 'username' e 'password'.

Esses ataques se baseam principalmente em explorar falhas no código escrito sem se preocupar com segurança. Nunca confie em nenhum tipo de entrada, especialmente aquela que vem do lado do cliente, mesmo que venha de um combobox, um campo de entrada escondido (hidden) ou um cookie. O primeiro exemplo mostra como uma consulta inocente pode causar desastres.

• Nunca conecte ao banco de dados como um super-usuário ou como o dono do banco de dados. Use sempre usuários personalidados com privilégios bem limitados.
• Use declarações preparadas com variáveis associadas. Eles são fornecidos pelo PDO, por MySQLi e por outras bibliotecas.
• Verifique se a entrada fornecida tem o tipo de dados esperado. O PHP tem uma ampla gama de funções de validação de entrada, desde as mais simples encontrado em Funções de variável e em Funções de tipo de caractere (por exemplo, is_numeric(), ctype_digit() respectivamente) e até mesmo com suporte de Expressões regulares compatíveis com Perl

• Se a aplicação espera por entradas numéricas, considere verificar os dados com a função is_numeric(), ou silenciosamente mudar o seu tipo usando settype(), ou usar a representação númerica usando a função sprintf().

  Exemplo #5 Uma maneira mais segura para compor consultas de paginação

  <?php

settype($offset, 'integer');
$query = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";

// por favor perceba o %d na string de formato, usando %s seria inútil
$query = sprintf("SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET %d;",
$offset);

?>

• Se a camada de banco de dados não suporta variáveis de ligação, então cite cada valor não numérico fornecido pelo usuário que é passado para o banco de dados com a função de escape de string específica do banco de dados (por exemplo mysql_real_escape_string(), sqlite_escape_string(), etc.). Funções genéricas como addlashes() são úteis apenas em um ambiente muito específico (por exemplo, MySQL em um caractere de byte único definido com NO_BACKSLASH_ESCAPES desativado) assim é melhor evitá-los.
• Não imprima qualquer informação específica do banco de dados, especialmente sobre o esquema, custe o que custar. Veja também Relatório de Erros e Funções de Tratamento e Relatório de Erros.
• Você pode usar stored procedures e cursores previamente definidos para abstrair acesso aos dados para que os usuários não acessem tabelas ou views diretamente, mas essa solução pode ter outros impactos.

Além disso, você ganha em relatar consultas ou dentro do script ou no próprio banco de dados, se esse suportar. Obviamente, o relatório é incapaz de previnir qualquer tentativa danosa, mas pode ser útil para ajudar a rastrear qual aplicação foi atacada. O relatório não é útil em si, mas atráves da informação que ele contém. Mais detalhes geralmente é melhor que menos.