Black Hat Windows 2002 - Vulnerability/SQL Inj. Counters: Securing Servers From Insidious Attacks
三句話摘要
如何通過輸入驗證、數據淨化與參數化查詢防御SQL注入與URL操作攻擊。 安全Web開發的核心是「分層防禦與參數化查詢」——客戶端驗證+正則淨化+類型檢查+存儲過程+整合認證+最小權限ACL缺一不可，任何單一層次都不足以抵擋SQL注入。 攻擊者選擇低懸果實 — 黑客會攻擊最不安全的開發者與系統，而非特定目標。演講者用登山遇熊比喻說明：不必比熊跑得快，只要比同伴快就能活命。開發者應超越同儕的安全標準。
重點整理
重點- 1
攻擊者選擇低懸果實 — 黑客會攻擊最不安全的開發者與系統，而非特定目標。演講者用登山遇熊比喻說明：不必比熊跑得快，只要比同伴快就能活命。開發者應超越同儕的安全標準。
- 2
SQL注入威力巨大 — 一條注入的SQL語句可刪除整個數據庫、竊取客戶信息（如信用卡號）或透過UNION查詢取得系統對象列表。根本原因是用戶輸入直接拼接進SQL字符串，SQL解析器無法區分正常指令與惡意代碼。
- 3
分層防御策略 — 單一防御層不夠（如客戶端HTML限制可被繞過）。需在客戶端驗證、傳輸前淨化、伺服器端強制檢查、數據庫層參數化四層防守，任何一層破口都由下層補救。
- 4
Windows認證勝過密碼認證 — 混合模式（SQL用戶名密碼）無法強制複雜密碼、鎖定賬戶或帳單級變更。整合認證綁定Windows NT帳戶，獲得企業身份管理能力，更重要的是打破「所有查詢以SA超級用戶身份執行」的噩夢。
實用技巧與重點
乾貨- 輸入淨化工具與方法
- 正則表達式對象（RegExp）：移除非數字字符 `[^\d]` 或非字母 `[^a-zA-Z]`
- 移除的字符清單：單引號 `'`、雙引號 `"`、連字號 `-`、分號 `;`、等號 `=`、空格
- 類型強制：整數輸入須轉換為int，無法轉換則報錯而不曝露SQL語句
- 邊界檢查
- 數值範圍檢查：區域編號只能0-6，超出範圍設為0或拒絕
- 長度檢查：輸入欄位限制25字符
- 提交頻率限制：若單位時間內超過閾值（如1小時內4百萬次請求）則拒絕，防止資源耗盡
- SQL層面防御
- Execute SQL存儲過程：`EXECUTE sp_executesql @SQL, @paramdef, @area`
- 存儲過程參數定義：`@area int` 強制類型檢查
- 命令對象（ADO Command）設置
- 連接對象指定
- 命令類型設為 `adCmdStoredProc`
- 參數綁定到Command.Parameters集合
- 執行Command而非直接SQL字符串
- 認證模式
- 混合模式：SQL Server內建用戶管理，不支持復雜密碼、賬戶鎖定、強制更換
- 整合認證：基於Windows NT帳戶，支持企業安全策略
- 數據源名稱（DSN）：使用可信連接 `Trusted_Connection=yes` 而非明文密碼
- 真實漏洞案例
- Microsoft認證夥伴網站曝露：`Provider=SQLOLEDB; User ID=user; Password=porn online; Database=mscp_data`
- 錯誤頁面直接輸出SQL執行語句與連接字符串
- 即使HTTPS加密傳輸，密碼仍在代碼中以明文存儲
結論
結論“安全Web開發的核心是「分層防禦與參數化查詢」——客戶端驗證+正則淨化+類型檢查+存儲過程+整合認證+最小權限ACL缺一不可，任何單一層次都不足以抵擋SQL注入。”
完整解析
詳細演講設置於2002年黑帽大會，講者Tim Mullen針對當時最普遍的Web應用防禦缺陷進行深度剖析。他首先確立了一個核心概念：安全如同野外生存，攻擊者會選擇防禦最薄弱的對象而非特定目標，因此開發者的任務是超越同儕的防禦能力。
在真實案例部分，演講以一套房地產搜尋系統展示漏洞的演化。最初版本採用POST方法傳遞使用者選擇的區域編號，表面上看客戶端HTML下拉列表限制了輸入，伺服器卻直接將Request.Form變數拼接進SQL字符串：`SELECT ... WHERE status=0 AND area=` + Request.Form("area")。駭客可手動編寫表單將area值改為 `1 OR 1=1`，導致SQL解析器判斷「1=1為永真」而返回全表數據。更危險的是Union Select技術，駭客可在原查詢後append `UNION SELECT name FROM master..sysobjects` 盜取系統對象資訊。
演講者逐步展示三個改進版本的代碼。第一步引入正則表達式對象淨化輸入，移除所有非數字字符，使 `1 OR 1=1` 變為 `1`。但這仍不夠—攻擊者若輸入負數或大於6的值仍能通過。第二步添加邊界檢查，確保只接受0-6的合法區域編號。然而這些都是字符串級防禦，SQL server因為使用超級用戶SA身份執行所有查詢，即使查詢被淨化，也意味著任何成功的注入都能完全控制數據庫。
最終解決方案涉及三大改變：第一，伺服器端建立存儲過程 `sp_get_area`，使用參數 `@area INT` 強制類型檢查；第二，改用ADO命令對象而非字符串拼接，將淨化後的整數通過 `Command.Parameters.Add` 綁定參數，確保SQL解析器永遠知道area的邊界在何處；第三，徹底廢除混合模式認證（SQL帳密登入），改用Windows整合認證，使每個使用者以其NT帳戶身份執行查詢，並通過最小權限原則限制匿名使用者只能執行特定存儲過程與讀取特定檢視表。演講者強調，即使駭客突破應用層防禦成功執行任意SQL，數據庫層的權限管制也會令其無法執行刪除命令或訪問其他表。
演講最後談及HTTPS與ISA防火牆的配置，指出端點加密只保護用戶端至防火牆的通道，防火牆後的內部HTTP流量仍可被同一網路的駭客竊聽，因此應整體採用加密。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
