0

Всем привет. Скачал исходник бота-магазина, все настроил и т.п., но слышал про такую штуку как SQL инъекции. Как проверить есть ли она в моем боте? Если есть, то как защититься ?

Сам попробовал методом тыка проверить есть ли она, но ничего дельного не вышло. Прошу помочь, если кто-то может.

1
  • Проверьте исходный код — весь ввод пользователя должен экранироваться
    – nomnoms12
    15 дек 2021 в 0:00

1 ответ 1

0

обратите внимание на код. если в нем есть места в которых вы получаете данные от пользователя и сразу же подставляете их в запрос, то это, скорее всего, уязвимость.

Ну вот такой гипотетический пример. Вы пытаетесь авторизовать пользователя по паролю. Пароль в БД.

def echo(update: Update, context: CallbackContext):
    if session.execute(f"select * from jeeves_wallet where address='{update.message.text}'").fetchone():
        r = "success"
    else:
        r = "denied"
    context.bot.send_message(chat_id=update.effective_chat.id, text=r)

Тогда пользователь вместо пароля, может отправить такую штуку anytext' or true-- и это его авторизует.

Вот такие места, прямого использования пользовательского ввода в коде программы нужно найти и как-то исправить. Этот пример исправляется довольно просто

def echo(update: Update, context: CallbackContext):
    if session.execute(f"select * from jeeves_wallet where address='%s'", update.message.text).fetchone():
        r = "success"
    else:
        r = "denied"
    context.bot.send_message(chat_id=update.effective_chat.id, text=r)

Также поможет и нормальное использование ORM

def echo(update: Update, context: CallbackContext):
    if PasswordsTable.query.filter_by(phrase=update.message.text).first():
        r = "success"
    else:
        r = "denied"
    context.bot.send_message(chat_id=update.effective_chat.id, text=r)

Просто держите в голове, любой юзер инпут это потенциальная уязвимость.

4
  • Спасибо, теперь уловил. А как вообще происходит сам процесс ? Как пользователь может ввести свои аргументы в запрос к бд ? Он же по сути выполняет условную команду /start. Дальше уже ему начисляется стандартный баланс, присваивается айди и т.д., но он кроме как командой /start ничего не может сделать. 15 дек 2021 в 13:47
  • ну значит там нет уязвимости)
    – alex
    15 дек 2021 в 14:22
  • А что насчет /start?=и тут sqli инъекция? 18 дек 2021 в 21:08
  • еще раз. "места, прямого использования пользовательского ввода в коде программы нужно найти"
    – alex
    19 дек 2021 в 9:40

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.