Инъекционные атаки

Любая инъекция — одна и та же поломка: недоверенные данные попадают в интерпретатор и разбираются как код. Отсюда защита: держать данные вне грамматики через параметризацию или структурные аргументы, а за ними — валидация по списку и минимум прав.

Параметризация передаёт SQL и значения по разным каналам: движок сперва разбирает запрос, затем подставляет значения как данные, поэтому ввод не возвращается в парсер как код. Экранирование строит одну строку, и один промах снова делает данные синтаксисом.

XXE возникает, когда XML-парсер разрешает объявленную в документе внешнюю сущность, и документ подтягивает локальный файл или внутренний URL. Лечится настройкой парсера, а не фильтрацией ввода: отключите DTD и внешние сущности.

Оба варианта скрывают результат запроса. Булевому обнаружению нужен ответ, который всё же различается — длина, статус или содержимое при истинном и ложном условии. Если ответ неизменен, остаётся задержка: намеренная пауза подтверждает выполнение.

ORM параметризует лишь запросы, которые строит сам. Помощники с сырым фрагментом — raw(), text(), рукописная строка where — отдают текст драйверу напрямую, поэтому подставленное значение снова разбирается как SQL.

Приложение собирает командную строку из ввода и отдаёт оболочке. Оболочка — полноценный интерпретатор, поэтому метасимволы разбивают команду на несколько, и ввод становится кодом. Фикс — не звать оболочку, а запускать бинарь с массивом аргументов.

Кавычка из параметра дошла до парсера SQL и досрочно закрыла литерал — значит, запрос склеен, и перед нами SQL-инъекция, а не плохой ввод. Чинить надо оба дефекта: связать ref параметром и убрать ошибку драйвера из ответа.

Значение сохраняется безопасно параметризованной вставкой и лишь позже читается обратно и склеивается в другой запрос — часто отчётом или фоновой задачей. Источник и приёмник в разных запросах, сканеры их не связывают, а выполнение слепое.

Фильтры Mongo — это документы, поэтому сырое значение JSON может прийти объектом-оператором вместо скаляра: поле, ждущее строку, получает объект с $ne, и сравнение совпадает всегда. Лечится приведением каждого поля к ожидаемому типу.

Оба формата используют перевод строки разделителем структуры. Неотфильтрованный перевод в заголовке завершает его досрочно и даёт дописать заголовки или тело, расщепив ответ; в журнале — подделать запись. Фикс — отвергать управляющие символы.

Автопривязка копирует все поля тела запроса в модель, поэтому клиент дописывает атрибут, которого не было в форме, — роль или владельца, — и он сохраняется. Белый список переворачивает умолчание: связываются лишь поля, разрешённые точке.

При shell=True оболочка разбирает всю собранную строку, поэтому filename может дописать команды. Уберите оболочку и передайте список аргументов, затем ограничьте значение: сведите к чистому имени по строгому шаблону.

Шаблонизатор — это интерпретатор. Ввод, переданный значением, лишь подставляется, а ввод, скомпилированный как исходник шаблона, исполняется в серверном процессе. Фикс структурный: шаблоны из кода, данные пользователя — только связанная переменная.

Массив аргументов убирает оболочку, но не собственный разбор опций у бинаря. Значение с ведущим дефисом читается как флаг, поэтому ввод меняет поведение утилиты, а не её объект. Фикс — разделитель -- и отказ от значений в форме опции.

Параметрические сущности заставляют парсер открыть исходящее соединение, поэтому данные уходят побочным каналом и вывод не нужен. Основной контроль тот же — отключить DTD и внешние сущности, за ними — ограничение исходящего трафика.