Mehedi Hasan

Posted on Mar 2

### ওয়েবসাইটকে SQL Injection এবং XSS আক্রমণ থেকে সুরক্ষিত রাখার উপায়

SQL Injection এবং Cross-Site Scripting (XSS) আক্রমণ দুটি অত্যন্ত সাধারণ এবং বিপজ্জনক সাইবার আক্রমণের পদ্ধতি, যা অনেক ওয়েবসাইটের জন্য বড় ধরনের নিরাপত্তা ঝুঁকি তৈরি করে। এসব আক্রমণকে প্রতিরোধ করতে হলে আমাদের ওয়েবসাইট বা ওয়েব অ্যাপ্লিকেশনের সুরক্ষার দিকে বিশেষ গুরুত্ব দিতে হবে। এই প্রবন্ধে আমরা SQL Injection এবং XSS আক্রমণ কীভাবে কাজ করে এবং কিভাবে এসব আক্রমণ থেকে আপনার ওয়েবসাইটকে সুরক্ষিত রাখতে পারবেন তা বিশদভাবে আলোচনা করব।

SQL Injection আক্রমণ এবং প্রতিরোধের উপায়

SQL Injection কী?

SQL Injection হল একটি আক্রমণ পদ্ধতি, যেখানে আক্রমণকারী ডাটাবেসের সাথে ইন্টারেক্ট করে এবং তা থেকে সংবেদনশীল তথ্য চুরি করতে পারে বা ডাটাবেসের তথ্য পরিবর্তন করতে সক্ষম হয়। সাধারণত, ডাটাবেসের সাথে সরাসরি SQL কুয়েরি পরিচালনা করার সময় ব্যবহারকারীর ইনপুট যদি যথাযথভাবে যাচাই করা না হয়, তখন এই ধরনের আক্রমণ ঘটে।

SQL Injection আক্রমণের প্রক্রিয়া

ধরা যাক, আপনার ওয়েবসাইটে একটি লগইন ফর্ম রয়েছে, যেখানে ব্যবহারকারী নাম এবং পাসওয়ার্ড ইনপুট দিয়ে লগইন করা হয়। যদি ব্যবহারকারীর এই ইনপুট সরাসরি SQL কুয়েরিতে প্রয়োগ করা হয়, তবে আক্রমণকারী সেখানে ক্ষতিকারক SQL কোড যুক্ত করতে পারে। উদাহরণস্বরূপ:

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1';

উপরের SQL কুয়েরিতে 'OR '1'='1' একটি ইনজেকশন কোড, যা সবসময় সত্য হিসেবে বিবেচিত হয়। এর ফলে লগইন ফর্মটি আক্রমণকারীকে ডাটাবেসের সব ব্যবহারকারীর তথ্য দেখাতে সক্ষম হয়, যা নিরাপত্তার জন্য বড় হুমকি।

SQL Injection থেকে সুরক্ষার উপায়

১. Parameterized Queries ব্যবহার করুন

ব্যবহারকারীর ইনপুট সরাসরি SQL স্টেটমেন্টে যোগ করা উচিত নয়। পরিবর্তে, parameterized queries ব্যবহার করতে হবে, যাতে SQL কুয়েরির মধ্যে ইনজেকশন কোড ঢোকানোর সুযোগ কমে যায়। Parameterized Queries ইনপুট ডেটাকে আলাদা করে ধরে, যা আক্রমণকারীকে ক্ষতিকর কোড ইনজেক্ট করা থেকে বিরত রাখে।

২. ORM (Object-Relational Mapping) ব্যবহার করুন

Flask, Django, বা Laravel এর মতো ফ্রেমওয়ার্কগুলোতে ORM ব্যবহার করলে SQL কুয়েরিগুলো স্বয়ংক্রিয়ভাবে নিরাপত্তা সুরক্ষিত হয়। ORM-এ parameterized queries ব্যবহৃত হয়, যা SQL Injection আক্রমণ প্রতিরোধ করে। Flask এর জন্য SQLAlchemy হল একটি জনপ্রিয় ORM।

উদাহরণ (SQLAlchemy ব্যবহার করে):

from flask import Flask, request, jsonify
from flask_sqlalchemy import SQLAlchemy

app = Flask(__name__)
app.config['SQLALCHEMY_DATABASE_URI'] = 'sqlite:///users.db'
db = SQLAlchemy(app)

class User(db.Model):
    id = db.Column(db.Integer, primary_key=True)
    username = db.Column(db.String(80), unique=True, nullable=False)
    password = db.Column(db.String(120), nullable=False)

@app.route("/login", methods=["POST"])
def login():
    username = request.form['username']
    password = request.form['password']

    # Parameterized query এর মাধ্যমে সুরক্ষিত
    user = User.query.filter_by(username=username, password=password).first()

    if user:
        return jsonify({"message": "Login successful!"}), 200
    else:
        return jsonify({"message": "Invalid credentials!"}), 401

if __name__ == "__main__":
    app.run(debug=True)

উপরের উদাহরণে, filter_by() একটি নিরাপদ পদ্ধতি হিসেবে কাজ করে এবং সরাসরি SQL কুয়েরি তৈরির প্রয়োজনীয়তা এড়িয়ে যায়, ফলে SQL Injection আক্রমণ প্রতিরোধ হয়।

৩. ইনপুট যাচাই করা (Input Validation)

ব্যবহারকারীর ইনপুট গ্রহণ করার সময় তা অবশ্যই যাচাই করতে হবে। বিশেষত, ইনপুট ফিল্ডে যে কোনও ইনজেকশন কোড বা সংবেদনশীল ডেটা সংযুক্ত না হয়, তা নিশ্চিত করতে হবে। ইনপুট ফিল্ডে অপ্রত্যাশিত ডেটা ঢোকানোর সম্ভাবনা থাকলে সেগুলিকে ব্লক করা উচিত।

৪. Prepared Statements ব্যবহার করুন

Prepared statements হল আরও একটি শক্তিশালী পদ্ধতি, যা SQL Injection আক্রমণ প্রতিরোধ করতে সক্ষম। এখানে ডেটার স্থানে টেমপ্লেট প্যারামিটার ব্যবহার করা হয়, যা SQL কুয়েরির আউটপুটকে নিরাপদ রাখে।

Cross-Site Scripting (XSS) আক্রমণ এবং প্রতিরোধের উপায়

XSS আক্রমণ কী?

Cross-Site Scripting (XSS) হল একটি আক্রমণ যেখানে আক্রমণকারী ওয়েবসাইটের ইনপুট ফিল্ডে ম্যালিশিয়াস স্ক্রিপ্ট কোড ইনজেক্ট করে এবং সেই কোড ব্যবহারকারীর ব্রাউজারে চালানো হয়। XSS এর মাধ্যমে আক্রমণকারী ব্যবহারকারীর ব্রাউজারের তথ্য, কুকি, এবং সেশন স্টিল করতে পারে।

XSS আক্রমণের প্রক্রিয়া

যখন ব্যবহারকারী ওয়েবসাইটে কোনও ইনপুট (যেমন, কমেন্ট, সার্চ টার্ম) দেয় এবং সেটি যথাযথভাবে স্যানিটাইজ করা হয় না, তখন আক্রমণকারী সেই ইনপুটে স্ক্রিপ্ট কোড যোগ করে। উদাহরণস্বরূপ:

<script>alert('XSS Attack!');</script>

এই স্ক্রিপ্টটি ব্যবহারকারীর ব্রাউজারে চালানো হলে একটি পপ-আপ বার্তা দেখাবে, এবং আক্রমণকারী আরও ক্ষতিকারক স্ক্রিপ্টও ইনজেক্ট করতে পারে।

XSS থেকে সুরক্ষার উপায়

১. ইনপুট স্যানিটাইজেশন (Input Sanitization)

ব্যবহারকারীর ইনপুট ডেটাকে অবশ্যই স্যানিটাইজ করা উচিত, যাতে কোনও ম্যালিশিয়াস স্ক্রিপ্ট কোড ইনজেক্ট হতে না পারে। HTML বা JavaScript ইনপুটের মধ্যে মেনে নেওয়া উচিত নয়। এ জন্য ক্যারেক্টার এন্ডকোডিং এবং ইনপুট স্যানিটাইজেশন পদ্ধতি ব্যবহার করতে হবে।

২. Jinja2 টেমপ্লেট ইঞ্জিন ব্যবহার করুন

Flask অ্যাপ্লিকেশনে Jinja2 টেমপ্লেট ইঞ্জিন ব্যবহার করলে এটি স্বয়ংক্রিয়ভাবে ইনপুট স্যানিটাইজ করে এবং স্ক্রিপ্ট ইনজেক্ট হওয়ার ঝুঁকি কমিয়ে দেয়। Jinja2 টেমপ্লেট স্বয়ংক্রিয়ভাবে HTML encoding করে দেয়, যা XSS আক্রমণ প্রতিরোধে কার্যকর।

উদাহরণ:

from flask import Flask, render_template_string

app = Flask(__name__)

@app.route("/greet/<name>")
def greet(name):
    # Jinja2 এর মাধ্যমে ইনপুট স্যানিটাইজ করা হচ্ছে
    return render_template_string('<h1>স্বাগতম, {{ name }}!</h1>', name=name)

if __name__ == "__main__":
    app.run(debug=True)

৩. Content Security Policy (CSP)

Content Security Policy (CSP) ব্যবহার করে ব্রাউজারের স্ক্রিপ্ট সোর্স নির্দিষ্ট করে দেওয়া যেতে পারে। CSP হেডারটি মূলত নির্দিষ্ট করে কোন সোর্স থেকে স্ক্রিপ্ট লোড করা যাবে এবং কোনটি নিষিদ্ধ থাকবে।

৪. HTML Encoding

ব্যবহারকারীর ইনপুট সরাসরি HTML-এ প্রদর্শিত হলে ইনপুটটিকে অবশ্যই HTML encode করতে হবে। এতে স্ক্রিপ্ট কোডটি HTML ট্যাগ হিসেবে চিনে এবং তা কার্যকর হয় না।

৫. Flask-WTF ব্যবহার করে ভ্যালিডেশন

Flask-WTF এর মতো ফর্ম ভ্যালিডেশন লাইব্রেরি ব্যবহার করে ইনপুট ডেটাকে স্যানিটাইজ এবং ভ্যালিডেট করা সম্ভব। এর মাধ্যমে অতিরিক্ত সুরক্ষা নিশ্চিত করা যায় এবং ইনপুট থেকে স্ক্রিপ্ট ইনজেকশন রোধ করা যায়।

উপসংহার

SQL Injection এবং XSS আক্রমণ থেকে সুরক্ষা নিশ্চিত করতে ওয়েব ডেভেলপারদের অবশ্যই কিছু নির্দিষ্ট নিরাপত্তা পদ্ধতি অনুসরণ করতে হবে। SQLAlchemy এর মতো ORM এবং Prepared Statements ব্যবহার করে SQL Injection আক্রমণ প্রতিরোধ করা সম্ভব। অপরদিকে, Jinja2 টেমপ্লেট ইঞ্জিন এবং CSP ব্যবহার করে XSS আক্রমণ প্রতিরোধ করা যায়। সঠিক সুরক্ষা পদ্ধতি অনুসরণ করলে আপনার ওয়েবসাইটকে এসব আক্রমণ থেকে সুরক্ষিত রাখা সম্ভব।

DEV Community