شرح آسیب پذیری ORM Injection:
آسیب پذیری ORM Injection یا Object Relational Mapping Injection یک حمله با استفاده از SQL Injection برابر data access object model ایجاد شده توسط ORM می‌باشد. عملاً آسیب پذیری ORM Injection از دید یک مهاجم و Pentester همان آسیب پذیری SQL Injection در نظر گرفته می شود. با این تفاوت که آسیب‌پذیری Injection در کد ایجاد شده توسط لایه ی ORM رخ می دهد. معمولا فرآیند حمله در حالت کلی به صورت تزریق کد نمی باشد. بلکه بر اساس نوع Query نوشته شده، با اضافه نمودن و حذف برخی کاراکترها از آن سوء استفاده می گردد. مورد دیگری که می تواند باعث بروز آسیب پذیری ORM Injection گردد، آسیب پذیری هایی است که در کتابخانه های مورد استفاده کشف می شود. نظیر آسیب پذیری ای که در سال 2019 در sequelize ORM npm library کشف گردید.
با این حال، استفاده از ORM مزیت هایی را برای برنامه نویسان و امنیت سیستم به همراه دارد. از جمله می توان به موارد ذیل اشاره کرد.
– تمامی ارتباط با با بانک اطلاعاتی به صورت standardize شده صورت می پذیرد. ولی متاسفانه متدهایی می تواند توسط برنامه نویس مورد استفاده قرار گیرد که ورودی های standardize نشده را می پذیرد.
– شامل توابعی است که هدف آنها جلوگیری از حملاتی نظیر SQL Injection است.
– ORM ایجاد شده می تواند عملیات های Read, Write, Update, Delete را بر روی بانک اطلاعاتی و جداول مربوطه انجام دهد.
چگونه این آسیب پذیری را رفع کنیم ؟
– استفاده از Prepared Statements یا استفاده از Parameterized Queries
– استفاده از Stored Procedures ها
– استفاده از روش Whitelist Input Validation و مسدودسازی کاراکترهای غیرمجاز
– استفاده از روش Escaping برای تمامی Input های دریافتی از کاربر
– استفاده از مکانیزم‌های بازدارنده در WAF
برای مشاهده ی سایر آسیب پذیری ها، روی این لینک کلیک نمائید.
