ما هو هجوم حقن SQL (SQL Injection)؟ وكيف تحمي قاعدة بيانات موقعك منه

كيف يعمل الهجوم؟ #

أغلب المواقع تحفظ محتواها ومستخدميها في قاعدة بيانات MySQL أو MariaDB. عندما يبحث الزائر عن كلمة، يبني الموقع استعلاماً فيه هذه الكلمة. المشكلة تبدأ عندما يضع الكود ما كتبه الزائر داخل الاستعلام كما هو دون فحص.

بدل كلمة بحث عادية، يكتب المهاجم نصاً يغيّر معنى الاستعلام، مثل:

' OR 1=1 --

هذا النص يجعل الشرط صحيحاً دائماً، فقد يعرض الموقع كل السجلات أو يسمح بالدخول دون كلمة مرور. وبصيغ أعقد يستطيع المهاجم قراءة جداول المستخدمين وكلمات المرور المشفرة.

ماذا يستطيع المهاجم أن يفعل؟ #

أين تكون الثغرة عادة؟ #

• إضافة أو قالب ووردبريس قديم فيه ثغرة حقن معروفة.
• كود مكتوب يدوياً يضع قيم الروابط أو النماذج مباشرة داخل الاستعلام.
• سكربتات قديمة غير محدّثة، مثل منتديات أو أنظمة متاجر قديمة.

كيف تحمي موقعك؟ #

1. حدّث ووردبريس والإضافات والقوالب: أغلب ثغرات الحقن في ووردبريس تكون في إضافات قديمة، والتحديث يغلقها. افحص موقعك بأداة فحص نقاط الضعف في ووردبريس.
2. للمبرمجين: استخدم الاستعلامات المجهّزة: لا تدمج قيم الزائر في نص الاستعلام. في ووردبريس استخدم $wpdb->prepare()، وفي PHP استخدم PDO مع المعاملات.
3. صلاحيات محدودة لمستخدم قاعدة البيانات: مستخدم قاعدة بيانات الموقع يحتاج صلاحيات موقعه فقط، ولكل موقع مستخدم مستقل.
4. لا تعرض رسائل أخطاء قاعدة البيانات للزوار: رسائل الخطأ التفصيلية تساعد المهاجم على فهم بنية الجداول. اترك وضع التصحيح مطفأً في الموقع المنشور.
5. جدار حماية للويب: قواعد ModSecurity تتعرّف على أنماط الحقن المعروفة وتوقف الطلب قبل وصوله إلى الموقع.
6. نسخ احتياطية لقاعدة البيانات: إذا عُدّلت البيانات أو حُذفت تحتاج نسخة نظيفة. اقرأ أهمية النسخ الاحتياطي.

// خطأ: قيمة الزائر داخل الاستعلام مباشرة
$wpdb->get_results("SELECT * FROM wp_posts WHERE post_title = '$_GET[q]'");
// صحيح: استعلام مجهّز
$wpdb->get_results($wpdb->prepare("SELECT * FROM {$wpdb->posts} WHERE post_title = %s", $_GET['q']));

أسئلة شائعة #