Injection Attacks — কোড আর ডেটা যখন একই স্ট্রিং

SQL injection-এর মেকানিজম — precedence আর comment-এর খেলা

সবচেয়ে চেনা পেলোড: ' OR '1'='1। কিন্তু এই পেলোড একা সবসময় কাজ করে না — নিচের কোডটা আসলেই চালানো, আর সেটাই দেখায় কেন:

# precedence.py — কেন শুধু "' OR '1'='1'" যথেষ্ট নয়, '--' কেন দরকার
import sqlite3

conn = sqlite3.connect(":memory:")
conn.execute("CREATE TABLE users (username TEXT, password TEXT)")
conn.execute("INSERT INTO users VALUES ('admin', 'S3cr3t!Root99')")
conn.commit()


def run(username, password):
    query = f"SELECT username FROM users WHERE username = '{username}' AND password = '{password}'"
    print(f"  query : {query}")
    return conn.execute(query).fetchall()


print("== variant A: '1'='1' যোগ করা, কিন্তু কোনো comment ছাড়া ==")
rows = run("' OR '1'='1", "totally-wrong-password")
print(f"  ফলাফল: {rows}  (বাইপাস হলো: {len(rows) > 0})")

print("== variant B: একই payload, কিন্তু '--' দিয়ে বাকি query কমেন্ট-আউট করা ==")
rows = run("' OR '1'='1' -- ", "this-part-never-even-parsed")
print(f"  ফলাফল: {rows}  (বাইপাস হলো: {len(rows) > 0})")

প্রত্যাশিত output (deterministic — হুবহু এটাই আসবে):

== variant A: '1'='1' যোগ করা, কিন্তু কোনো comment ছাড়া ==
  query : SELECT username FROM users WHERE username = '' OR '1'='1' AND password = 'totally-wrong-password'
  ফলাফল: []  (বাইপাস হলো: False)
== variant B: একই payload, কিন্তু '--' দিয়ে বাকি query কমেন্ট-আউট করা ==
  query : SELECT username FROM users WHERE username = '' OR '1'='1' -- ' AND password = 'this-part-never-even-parsed'
  ফলাফল: [('admin',)]  (বাইপাস হলো: True)

দুইটা variant-এর পার্থক্যই আজকের সবচেয়ে গুরুত্বপূর্ণ সূক্ষ্মতা। Variant A ব্যর্থ হয় কারণ SQL-এ AND, OR-এর চেয়ে বেশি precedence পায় — তাই query আসলে পার্স হয় username='' OR ('1'='1' AND password='totally-wrong-password') হিসেবে, আর ডান পাশটা password ভুল বলে পুরোটাই False। Variant B সফল হয় কারণ -- SQL-এ একটা comment-marker — তার পরের সবকিছু (বাকি AND password = '...' অংশ) parser-এর কাছে নিছক একটা মন্তব্য, কখনো execute-ই হয় না। Attacker password check-টাকেই বাস্তবে মুছে ফেলেছে, ভাঙেনি।

এইখানেই root-cause-টা সবচেয়ে স্পষ্ট: ডেভেলপার যে string-টা লিখেছিলেন (SELECT ... WHERE username = '...' AND password = '...'), সেটা আর সেই স্ট্রিং নেই যেটা ডাটাবেস আসলে পার্স করছে — attacker-এর ইনপুট নিজেই নতুন syntax টুকরো হয়ে সেই string-এর অর্থ পুনর্লিখন করে ফেলেছে।

Command injection — একই প্যাটার্ন, শেল-এর ভাষায়

শেল কমান্ড বানানোর সময় হুবহু একই ভুল হয়। ধরুন একটা ফিচার যেটা user-এর দেওয়া hostname দিয়ে কিছু একটা করে, আর ডেভেলপার লেখেন:

cmd = f"echo Checking host: {hostname}"
subprocess.run(cmd, shell=True, ...)

শেলের কাছে ;, |, &&, backtick — এগুলো সবই syntax-token, ঠিক SQL-এর ' আর ---এর মতোই। hostname-এ যদি ; echo INJECTED বসানো যায়, শেল সেটাকে দুইটা আলাদা কমান্ড হিসেবে পড়ে — কোনো “hostname ছিল যার ভেতরে সেমিকোলন ছিল” ধারণা শেলের কাছে নেই, সে শুধু syntax-token দেখে দুইটা statement আলাদা করে। পুরো verified demonstration নিচের Build অংশে।

SSTI — যখন interpreter-টা একটা template engine

তৃতীয় উদাহরণ, সংক্ষেপে। টেমপ্লেট ইঞ্জিন (Jinja2, Twig, Freemarker-জাতীয়) {{ expr }} -স্টাইল syntax দিয়ে templates-এর ভেতরে expression বসানোর সুযোগ দেয়। যদি user-এর ইনপুট (যেমন “নাম”) সরাসরি টেমপ্লেট-string- এর ভেতরে বসিয়ে তারপর render করা হয় — ঠিক SQL আর শেলের মতো একই ভুল — attacker নিজের নাম-এর জায়গায় {{ 7*7 }} পাঠালে templating engine সেটাকে টেক্সট না ভেবে expression হিসেবে execute করে ফেলে। নিচের কোড টুকরোটা আসলেই চালানো, একটা toy engine দিয়ে (Jinja2-জাতীয় real engine ঠিক এই একই নীতিতে চলে, শুধু sandboxing-স্তর বেশি):

# ssti.py — টেমপ্লেট ইঞ্জিনের ভেতরে code/data মিশ্রণ (toy engine)
import re

def render(template, context):
    return re.sub(r"\{\{\s*(.*?)\s*\}\}", lambda m: str(eval(m.group(1), {}, context)), template)

print("== naive: user-এর নাম সরাসরি টেমপ্লেট-STRING-এর ভেতরে বসানো ==")
naive_template = "Hello, World! Today is {{ 2 + 2 }} days away."
print(f"  render output   : {render(naive_template, {})!r}")

print("== attacker নিজের 'নাম'-এর জায়গায় টেমপ্লেট-syntax পাঠায় ==")
payload = "{{ 7*7 }}"
malicious_template = f"Hello, {payload}! Today is {{{{ 2 + 2 }}}} days away."
print(f"  render output   : {render(malicious_template, {})!r}")

print("== fix: user input টেমপ্লেট-STRING-এ না বসিয়ে, শুধু context DATA হিসেবে ==")
safe_template = "Hello, {{ name }}! Today is {{ 2 + 2 }} days away."
print(f"  render (payload as data): {render(safe_template, {'name': payload})!r}")

প্রত্যাশিত output (deterministic — হুবহু এটাই আসবে):

== naive: user-এর নাম সরাসরি টেমপ্লেট-STRING-এর ভেতরে বসানো ==
  render output   : 'Hello, World! Today is 4 days away.'
== attacker নিজের 'নাম'-এর জায়গায় টেমপ্লেট-syntax পাঠায় ==
  render output   : 'Hello, 49! Today is 4 days away.'
== fix: user input টেমপ্লেট-STRING-এ না বসিয়ে, শুধু context DATA হিসেবে ==
  render (payload as data): 'Hello, {{ 7*7 }}! Today is 4 days away.'

লক্ষ্য করুন সবচেয়ে গুরুত্বপূর্ণ লাইনটা — attacker “নাম” হিসেবে 7*7 পাঠাল, output-এ এলো 49, World না — মানে তার ইনপুট evaluate হয়েছে, শুধু display হয়নি। বাস্তব SSTI-তে 7*7-এর জায়গায় ফাইল-পড়া বা কমান্ড-execute করার মতো expression বসানো সম্ভব, নির্ভর করে কোন ইঞ্জিন আর কতটা sandbox করা। শেষ ধাপে fix হুবহু আগের দুইটার মতোই — user input আর টেমপ্লেট-syntax কখনো একই string-এ না মেশা।