Як я можу змусити програмістів припинити писати код, вразливий до ін'єкції SQL?

Іноді ви зайняті і делегуєте невеликі завдання молодшим програмістам. Але якщо ви не приділяєте належної уваги, ви опинитесь з таким кодом у виробництві:

class DivtoggleController extends Zend_Controller_Action {

    public function closeAction() {
        /* ... code removed for brevity ... */

        $req = $this->getRequest();
        $formData = $req->getPost();

        $d = $formData['div'];
        $i = $formData['id'];

        $dm = new Model_DivtoggleManager();
        $rs = $dm->setDivToggleById($d, $i);

    }

}


class Model_DivtoggleManager extends Zend_Db_Table {

    public function setDivToggleById($div, $id) {
        $result = $this->getAdapter()->query(
           "update div_toggle set " . $div . "=1 where id=" . $id
        );
    }

}

Отже, враховуючи, що я видалив логіку управління автентифікацією / сеансом для стислості, хто може мені сказати, яка можлива проблема може бути з цим зразком?

Ви можете їх навчити. Кожен робить це на початку, навіть ти. Якщо цей тип коду робить його виробництвом, це винні старші люди; не молодший.

Редагувати:

Одним із речей, які я зробив, є те, що я особисто взявся активно просити людей переглянути мій код (включаючи юніорів) перед випуском. Код переглядають, молодші люди сприймають це як досвід навчання, люди втрачають страх перед переглядом коду як покарання, і вони починають робити те саме.

Зламіть їх код перед очима, а потім покажіть, як це виправити. Знову і знову, поки вони не зрозуміють.

Ви можете доручити їм проходити клас, як тільки вони приєднаються до вашої компанії, перш ніж вони матимуть доступ до контролю джерела, що вводить їх до ін'єкцій SQL, сценаріїв міжміських сайтів, підробки міжпрофільних веб-сайтів та інших загальних уразливостей. Обкладіть приклади віч-на-віч, порушіть поганий код перед ними, попросіть їх порушити поганий код і вкажіть їх на сайт OWASP для отримання додаткової інформації, як тільки вони закінчать.

Ви можете додатково доручити використання спеціальної бібліотеки, яка займається цим для вас, але це лише вторинне рішення, оскільки вони обов'язково запускають власні запити, коли це стане зручнішим.

Якщо у вас є ресурси, переконайтеся, що більш старші члени команди перевіряють їхні відмінності перед тим, як зробити це, також можуть бути корисними.

Знання це сила!

Якщо припустити, що це невпевненість, до якої зверталися інші, як розробник будь-якого рівня, легко забути, що getPost () не забезпечує безпеку даних спочатку.

Одним із способів цього є:

1. Напишіть клас, який отримує всі дані POST / GET, і запишіть його як клас Singleton, який називається "insecure_data". Потім очистіть масиви POST / GET.
2. Розробникам, ніж доводиться отримувати дані POST / GET з масиву 'insecure_data', а не масиви POST / GET.

Будь-який розробник, який витягує щось із масиву під назвою "insecure_data" і не намагається захистити його, є невідомим або ледачим. Якщо це перший, забезпечте навчання, після чого він повинен бути другим - і тоді у вас є дисциплінарне питання, а не програмування.

Один з найкращих посібників, які я прочитав про безпеку в Інтернеті, - це посібник із безпеки Ruby on Rails . Хоча це Ruby on Rails, багато концепцій стосуються будь-якої веб-розробки. Я б закликав будь-кого нового, щоб прочитати цей посібник.

Код, який ви зв'язали вище, піддається атаці ін'єкції SQL, оскільки входи HTTP, які ви використовуєте в запиті, не були очищені mysql_real_escape_stringіншими способами.

З точки зору вашого (імовірно, переважаючого) "як я можу змусити програмістів перестати займатися цим питанням", я б сказав, що наставлюючи їх регулярно, ретельно пояснюючи питання, про яке йдеться (і потенційні випади тощо), і підкреслюючи важливість вразливості коду (як з точки зору інжекцій SQL, так і з крос-сайтового сценарію тощо), мабуть, є найбільш розумним рішенням.

Якщо вони не зважають на все вищезазначене (можливо, ви захочете кинути погляд на їхні зобов’язання тощо), а не виявляти "наживо"), то проблема полягає в тому, що ви їх не дотримуєтесь як наставника, або це їм, можливо, потрібно знайти щось більш придатне для життя.