也想出现在这里? 联系我们

PHP数据库安全之SQL注入

作者 : 小编 本文共3851个字,预计阅读时间需要10分钟 发布时间: 2021-06-14 共2.43K人阅读
也想出现在这里? 联系我们

$offset = $argv[0]; // 注意,没有输入验证!

  $query = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";

  $result = pg_query($conn, $query);

  ?>

  一般的用户会点击 $offset 已被斌值的“上一页”、“下一页”的链接。原本代码只会认为 $offset 是一个数值。然而,如果有人尝试把以下语句先经过 urlencode() 处理,然后加入URL中的话:

  0;

  insert into pg_shadow(usename,usesysid,usesuper,usecatupd,passwd)

  select \’crack\’, usesysid, \’t\’,\’t\’,\’crack\’

  from pg_shadow where usename=\’postgres\’;

  –

  那么他就可以创建一个超级用户了。注意那个 0; 只不过是为了提供一个正确的偏移量以便补充完整原来的查询,使它不要出错而已。

  注: — 是 SQL 的注释标记,一般可以使用来它告诉 SQL 解释器忽略后面的语句。

  对显示搜索结果的页面下手是一个能得到密码的可行办法。攻击者所要做的只不过是找出哪些提交上去的变量是用于 SQL 语句并且处理不当的。而这类的变量通常都被用于 SELECT 查询中的条件语句,如 WHERE, ORDER BY, LIMIT 和 OFFSET。如果数据库支持 UNION 构造的话,攻击者还可能会把一个完整的 SQL 查询附加到原来的语句上以便从任意数据表中得到密码。因此,对密码字段加密是很重要的。 例子 27-3. 显示文章……以及一些密码(任何数据库系统)

  

  $query = "SELECT id, name, inserted, size FROM products

   WHERE size = \’$size\’

   ORDER BY $order LIMIT $limit, $offset;";

  $result = odbc_exec($conn, $query);

  ?>

  可以在原来的查询的基础上添加另一个 SELECT 查询来获得密码:

  \’union select \’1\’, concat(uname  \’-\’  passwd) as name, \’1971-01-01\’, \’0\’ from usertable;

  –

  假如上述语句(使用 \’ 和 –)被加入到 $query 中的任意一个变量的话,那么就麻烦了。

  SQL 中的 UPDATE 也会受到攻击。这种查询也可能像上面的例子那样被插入或附加上另一个完整的请求。但是攻击者更愿意对 SET 子句下手,这样他们就可以更改数据表中的一些数据。这种情况下必须要知道数据库的结构才能修改查询成功进行。可以通过表单上的变量名对字段进行猜测,或者进行暴力破解。对于存放用户名和密码的字段,命名的方法并不多。 例子 27-4. 从重设密码……到获得更多权限(任何数据库系统)

  

  $query = "UPDATE usertable SET pwd=\’$pwd\’ WHERE uid=\’$uid\’;";

  ?>

  但是恶意的用户会把 \’ or uid like\’璵in%\’; — 作为变量的值提交给 $uid 来改变 admin 的密码,或者把 $pwd 的值提交为 "hehehe\’, admin=\’yes\’, trusted=100 "(后面有个空格)去获得更多的权限。这样做的话,查询语句实际上就变成了:

    

  // $uid == \’ or uid like\’璵in%\’; —

  $query = "UPDATE usertable SET pwd=\’…\’ WHERE uid=\’\’ or uid like \’璵in%\’; –";

  // $pwd == "hehehe\’, admin=\’yes\’, trusted=100 "

  $query = "UPDATE usertable SET pwd=\’hehehe\’, admin=\’yes\’, trusted=100 WHERE

  …;";

  ?>

  下面这个可怕的例子将会演示如何在某些数据库上执行系统命令。 例子 27-5. 攻击数据库所在主机的操作系统(MSSQL Server)

  

  $query = "SELECT * FROM products WHERE id LIKE \’%$prod%\’";

  $result = mssql_query($query);

  ?>

  如果攻击提交 a%\’ exec master..xp_cmdshell \’net user test testpass /ADD\’ — 作为变量 $prod的值,那么 $query 将会变成

  

  $query = "SELECT * FROM products

   WHERE id LIKE \’%a%\’

   exec master..xp_cmdshell \’net user test testpass /ADD\’–";

  $result = mssql_query($query);

  ?>

  MSSQL 服务器会执行这条 SQL 语句,包括它后面那个用于向系统添加用户的命令。如果这个程序是以 sa 运行而 MSSQLSERVER 服务又有足够的权限的话,攻击者就可以获得一个系统帐号来访问主机了。

  注: 虽然以上的例子是针对某一特定的数据库系统的,但是这并不代表不能对其它数据库系统实施类似的攻击。使用不同的方法,各种数据库都有可能遭殃。

  预防措施

  也许有人会自我安慰,说攻击者要知道数据库结构的信息才能实施上面的攻击。没错,确实如此。但没人能保证攻击者一定得不到这些信息,一但他们得到了,数据库有泄露的危险。如果你在用开放源代码的软件包来访问数据库,比如论坛程序,攻击者就很容得到到相关的代码。如果这些代码设计不良的话,风险就更大了。

  这些攻击总是建立在发掘安全意识不强的代码上的。所以,永远不要信任外界输入的数据,特别是来自于客户端的,包括选择框、表单隐藏域和cookie。就如上面的第一个例子那样,就算是正常的查询也有可能造成灾难。

  永远不要使用超级用户或所有者帐号去连接数据库。要用权限被严格限制的帐号。

  检查输入的数据是否具有所期望的数据格式。PHP 有很多可以用于检查输入的函数,从简单的变量函数和字符类型函数(比如 is_numeric(),ctype_digit())到复杂的 Perl 兼容正则表达式函数都可以完成这个工作。

  如果程序等待输入一个数字,可以考虑使用 is_numeric() 来检查,或者直接使用 settype() 来转换它的类型,也可以用 sprintf() 把它格式化为数字。 例子 27-6. 一个实现分页更安全的方法

  

  settype($offset, \’integer\’);

  $query = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";

  // 请注意格式字符串中的 %d,如果用 %s 就毫无意义了

  $query = sprintf("SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET %d;",

   $offset);

  ?>

  使用数据库特定的敏感字符转义函数(比如 mysql_escape_string() 和 sql_escape_string())把用户提交上来的非数字数据进行转义。如果数据库没有专门的敏感字符转义功能的话 addslashes() 和 str_replace() 可以代替完成这个工作。看看第一个例子,此例显示仅在查询的静态部分加上引号是不够的,查询很容易被攻破。

  要不择手段避免显示出任何有关数据库的信心,尤其是数据库结构。参见错误报告和错误处理函数。

  也可以选择使用数据库的存储过程和预定义指针等特性来抽象数库访问,使用户不能直接访问数据表和视图。但这个办法又有别的影响。

  除此之外,在允许的情况下,使用代码或数据库系统保存查询日志也是一个好办法。显然,日志并不能防止任何攻击,但利用它可以跟踪到哪个程序曾经被尝试攻击过。日志本身没用,要查阅其中包含的信息才行。毕竟,更多的信息总比没有要好。

  add a note User Contributed Notes

  SQL 注入

  17-Mar-2006 01:48

  If you use the PEAR package and prepare() / execute() your queries,

  you will hardly have to worry about any of this. Of course, it\’s still

  a good idea to make sure you\’re putting valid data in your database…

  bee at askbee dot net

  17-Nov-2005 06:52

  A great article of how to avoid sql injection

  http://www.askbee.net/articles/php/SQL_Injection/sql_injection.html

  anonymous

  26-Jan-2005 04:42

  Here is a useful class that deals with SQL injection:

  http://www.phpinsider.com/php/code/SafeSQL/

1. 本站所提供的源码模板(主题/插件)等资源仅供学习交流,若使用商业用途,请购买正版授权,否则产生的一切后果将由下载用户自行承担,有部分资源为网上收集或仿制而来,若模板侵犯了您的合法权益,请来信通知我们(Email: rayer@88.com),我们会及时删除,给您带来的不便,我们深表歉意!
2. 分享目的仅供大家学习和交流,请不要用于商业用途!
3. 如果你也有好源码或者教程,可以到用户中心发布投稿,分享有金币奖励和额外收入!
4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务 请大家谅解!
5. 如有链接无法下载、失效或广告,请联系站长,可领回失去的金币,并额外有奖!
6. 如遇到加密压缩包,默认解压密码为"www.zyfx8.cn",如遇到无法解压的请联系管理员!
本站部分文章、资源来自互联网,版权归原作者及网站所有,如果侵犯了您的权利,请及时联系我站删除。免责声明
资源分享吧 » PHP数据库安全之SQL注入

常见问题FAQ

免费下载或者VIP会员专享资源能否直接商用?
本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
织梦模板使用说明
你下载的织梦模板并不包括DedeCMS使用授权,根据DedeCMS授权协议,除个人非盈利站点外,均需购买DedeCMS商业使用授权。购买地址: http://www.desdev.cn/service-dedecms.html

发表评论

Copyright 2015-2020 版权所有 资源分享吧 Rights Reserved. 蜀ICP备14022927号-1
开通VIP 享更多特权,建议使用QQ登录