MySQLまたはMariaDBデータベースをSQLインジェクションから保護する方法：パート2

• ファイアウォールが有効で、ユーザーが保護モードの場合、明示的にホワイトリストに登録されたクエリのみが通過できるため、SQLインジェクション検出は使用されません。
• ファイアウォールが有効で、ユーザーがDETECTINGモードの場合、ホワイトリストに登録されたクエリはSQLインジェクションについてテストされず、他のすべてのクエリがテストされます。
• ファイアウォールが有効で、ユーザーが「オフ」モードの場合、すべてのクエリがホワイトリストに登録されていると見なされ、SQLインジェクションのテストは行われません。
• ファイアウォールが無効になっている場合、すべてのクエリでSQLの検出がテストされます。

基本的に、ファイアウォールが無効になっている場合、または「検出」モードのユーザーにのみ使用されます。残念ながら、SQLインジェクションの検出には、非常に多くの誤検知が伴います。テーブルmysql_firewall_whitelist_sqli_fingerprintsを使用して、誤って検出されたクエリのフィンガープリントをホワイトリストに登録できます。それがどのように機能するか見てみましょう。まず、ファイアウォールを無効にしましょう：

mysql> set mysql-firewall_whitelist_enabled=0;

Query OK, 1 row affected (0.00 sec)

mysql> LOAD MYSQL VARIABLES TO RUNTIME;

Query OK, 0 rows affected (0.00 sec)

次に、いくつかのクエリを実行しましょう。

mysql> SELECT id, k FROM sbtest2 LIMIT 2;

ERROR 2013 (HY000): Lost connection to MySQL server during query

確かに、誤検知があります。ログには次のものがあります：

2020-02-14 10:11:19 MySQL_Session.cpp:3393:handler(): [ERROR] SQLinjection detected with fingerprint of 'EnknB' from client [email protected] . Query listed below:

SELECT id, k FROM sbtest2 LIMIT 2

わかりました。このフィンガープリントをホワイトリストテーブルに追加しましょう：

mysql> INSERT INTO mysql_firewall_whitelist_sqli_fingerprints VALUES (1, 'EnknB');

Query OK, 1 row affected (0.00 sec)

mysql> LOAD MYSQL FIREWALL TO RUNTIME;

Query OK, 0 rows affected (0.00 sec)

これで、ようやくこのクエリを実行できるようになりました：

mysql> SELECT id, k FROM sbtest2 LIMIT 2;

+------+------+

| id   | k |

+------+------+

|   84 | 2456 |

| 6006 | 2588 |

+------+------+

2 rows in set (0.01 sec)

sysbenchワークロードを実行しようとしましたが、その結果、ホワイトリストテーブルにさらに2つのフィンガープリントが追加されました：

2020-02-14 10:15:55 MySQL_Session.cpp:3393:handler(): [ERROR] SQLinjection detected with fingerprint of 'Enknk' from client [email protected] . Query listed below:

SELECT c FROM sbtest21 WHERE id=49474

2020-02-14 10:16:02 MySQL_Session.cpp:3393:handler(): [ERROR] SQLinjection detected with fingerprint of 'Ef(n)' from client [email protected] . Query listed below:

SELECT SUM(k) FROM sbtest32 WHERE id BETWEEN 50053 AND 50152

この自動化されたSQLインジェクションが、私たちの親友であるBoobyTablesから私たちを保護できるかどうかを確認したかったのです。

mysql> CREATE TABLE school.students (id INT, name VARCHAR(40));

Query OK, 0 rows affected (0.07 sec)

mysql> INSERT INTO school.students VALUES (1, 'Robert');DROP TABLE students;--

Query OK, 1 row affected (0.01 sec)

Query OK, 0 rows affected (0.04 sec)

mysql> SHOW TABLES FROM school;

Empty set (0.01 sec)

残念ながら、そうではありません。この機能は自動化されたフォレンジックアルゴリズムに基づいているため、完璧にはほど遠いことを覚えておいてください。これは追加の防御層として提供される可能性がありますが、アプリケーションとそのクエリを知っている誰かによって作成された、適切に保守されたファイアウォールを置き換えることはできません。

この短い2部構成のシリーズを読んだ後、ProxySQLを使用してSQLインジェクションや悪意のある試み（または単にユーザーエラー）からデータベースを保護する方法をよりよく理解できることを願っています。他にもアイデアがありましたら、コメントでお聞かせください。