SQL Injection คืออะไร? ป้องกันอย่างไรให้ปลอดภัย
| #1 · 12 มิถุนายน 2569 เวลา 19:36 น. | |
| สวัสดีครับเพื่อน ๆ สาย Dev และผู้ดูแลระบบ วันนี้เรามาคุยกันเรื่องความปลอดภัยในโลกของฐานข้อมูลกันหน่อยครับ หัวข้อที่เราจะเจาะลึกกันคือ SQL Injection หรือที่เรียกสั้นๆ ว่า SQLi นั่นเอง SQL Injection คืออะไร? มันคือเทคนิคการโจมตีที่ผู้ไม่ประสงค์ดีพยายามแทรกคำสั่ง SQL เข้าไปใน input field หรือช่องกรอกข้อมูลต่างๆ บนเว็บไซต์หรือแอปพลิเคชัน เพื่อหลอกให้ฐานข้อมูลทำงานตามคำสั่งที่เขาต้องการ เช่น การดึงข้อมูลสำคัญออกไป, การแก้ไขข้อมูล, หรือแม้กระทั่งการลบข้อมูลทั้งหมด ตัวอย่างง่ายๆ สมมติว่าเรามีฟอร์มล็อกอินที่ให้ผู้ใช้กรอก username และ password ถ้าโค้ดที่ใช้ตรวจสอบล็อกอินไม่ได้มีการป้องกันที่ดี ผู้โจมตีอาจจะลองกรอก username เป็น ' OR '1'='1' -- ซึ่งคำสั่งนี้จะทำให้เงื่อนไขล็อกอินกลายเป็นจริงเสมอ โดยไม่ต้องรู้ password เลย แล้วจะป้องกัน SQL Injection ได้อย่างไร? หลักการสำคัญคือการไม่เชื่อถือข้อมูลที่มาจากผู้ใช้โดยตรง และต้องมีการกรองหรือจัดการข้อมูลเหล่านั้นก่อนนำไปใช้กับฐานข้อมูล วิธีที่นิยมและมีประสิทธิภาพมีดังนี้ครับ 1. Prepared Statements (Parameterised Queries): นี่คือวิธีที่ดีที่สุดในการป้องกัน SQL Injection เลยครับ หลักการคือเราจะแยกส่วนของคำสั่ง SQL ออกจากข้อมูลที่ผู้ใช้ป้อนเข้ามา ตัวอย่างเช่น แทนที่จะสร้างคำสั่ง SQL แบบนี้ "SELECT * FROM users WHERE username = '" + userInput + "' AND password = '" + passwordInput + "'" เราจะใช้ Prepared Statements แทน ซึ่งจะทำให้ฐานข้อมูลรู้ว่าส่วนไหนคือคำสั่ง SQL และส่วนไหนคือข้อมูลจริงๆ ทำให้ไม่สามารถแทรกโค้ดอันตรายเข้ามาได้ 2. Input Validation: ตรวจสอบข้อมูลที่ผู้ใช้ป้อนเข้ามาให้ถูกต้องตามรูปแบบที่เราคาดหวัง เช่น ถ้าช่อง username ควรจะเป็นตัวอักษรและตัวเลขเท่านั้น ก็ให้กรองเอาอักขระพิเศษอื่นๆ ออกไป 3. Least Privilege Principle: ให้สิทธิ์แก่ผู้ใช้งานฐานข้อมูลเท่าที่จำเป็นเท่านั้น เช่น user ที่ใช้เชื่อมต่อกับเว็บแอปพลิเคชัน ไม่ควรมีสิทธิ์ในการลบหรือแก้ไขโครงสร้างฐานข้อมูล 4. Stored Procedures: การใช้ Stored Procedures ที่เขียนไว้อย่างถูกต้อง ก็สามารถช่วยลดความเสี่ยงได้เช่นกัน แต่ต้องมั่นใจว่า Stored Procedures นั้นไม่ได้สร้างขึ้นโดยการต่อสตริงข้อมูลจากผู้ใช้เข้าไปโดยตรง การป้องกัน SQL Injection เป็นเรื่องที่สำคัญมากสำหรับนักพัฒนาและผู้ดูแลระบบนะครับ การละเลยอาจนำไปสู่ความเสียหายร้ายแรงได้ ลองนำเทคนิคเหล่านี้ไปปรับใช้กันดูครับ #Database#SQLInjection#CyberSecurity#WebDevelopment | |
เข้าสู่ระบบด้วย Google เพื่อร่วมตอบกระทู้ — กดปุ่มเดียวจบ ไม่ต้องสมัครอะไรเพิ่ม