一分钟带你了解SQL Injection-木庄网络博客

本文摘自PHP中文网，作者醉折花枝作酒筹，侵删。

通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，得到一个存在安全漏洞的网站上的数据库。

SQL Injection，SQL 注入，其实就是利用代码漏洞改变 SQL 的语意，从而形成恶意 SQL 语句

$username = $_POST['username'];
$password = $_POST['password'];
 
$query = "select * from users where username = '{$username}' and password = '{$password}'";
 
// 判断是否登录成功
if (DB::select($query)) {
    return true;
}
 
return false;

咋一看这段伪代码没啥问题，就是判断账号密码是否正确，正确就返回 true，允许登录。但是如果传入的 username 为 123' or 1=1;#\，那么 SQL 语句就变为了

1 2	`select` `*` `from` `users` `where` `username =` `'123'` `or` `1=1;` `#` `and` `password` `=` `'{$password}'";`

这条恶意的 SQL 语句无论何时都会返回 true，因为 1=1

通过 ORM 注入

我们前面讲过 SQL Injection 就是利用代码漏洞改变 SQL 的语意，意味着 ORM 也是一个潜在的注入点。以 tp3.2 为例，有下面这段代码

$result = D('User')->where([
    'username' => $_POST['username'],
    'password' => $_POST['password'],
]);
 
if ($result) {
    echo '登录成功';
} else {
    echo '登录失败';
}

这段代码咋看起来没啥问题，但是如果 username 传入的是 username[0]=neq&username[1]=1111，这样就是的查询语句变为

$result = D('User')->where([
    'username' => ['neq', 111],
    'password' => $_POST['password'],
]);

那么 $result 的结果将永远为 true

防范方法

对传入的参数进行数据类型判断和数据类型转换
对引号进行转义，PHP 可以使用 addslashes，mysql_real_escape_string 等函数
预处理语句，最有效防范 SQL Injection
代码审计

预处理语句是如何防止 SQL Injection 的

预处理语句是由数据库实现的，比如 MySQL 就有实现预处理语句。首先讲下预处理的基本流程

MySQL 接收到预处理 SQL Template，立刻着手进行解析（词法和语法）
客户端发送数据，去替换 SQL Template 中的占位符（?）
MySQL 执行语句，返回结果
删除预处理语句（可选）

那么预处理语句是如何防范 SQL 注入的呢？首先所谓的 SQL Injection 就是强行去改变 SQL 语意。而在步骤一中已经处理完成语句，将 SQL 的语意固定下来，步骤二的替换占位符并不会改变 SQL 语意。下面是 PHP PDO 的例子

$stmt = $pdo->prepare("select * from users where username = '?' and password = '?'");
 
$stmt->execute("123' or 1=1;#", 'test');

数据库系统概念第6版

￥41.1元 机械工业出版社

本书主要讲述了数据模型、基于对象的数据库和XML、数据存储和查询、事务管理、体系结构等方面的内容。

转载请注明出处：木庄网络博客 » 一分钟带你了解SQL Injection

一分钟带你了解SQL Injection

通过 ORM 注入

防范方法

预处理语句是如何防止 SQL Injection 的

数据库系统概念第6版

相关推荐

评论