IP地址SQL注入

Question

用户是否可以伪造从 PHP 中的 $_SERVER['REMOTE_ADDR'] 返回的结果，以便理论上他们可以在数据库上使用 SQL 注入？

这有点愚蠢，但我对 PHP 还很陌生，我想知道它是否可以完成，当 SELECT 语句从 IP 地址中选择时是否需要清理数据库输入从 $_SERVER['REMOTE_ADDR'] 返回。所以，如果我想使用类似 $query = "SELECT * FROM users WHERE IP='" 的东西。 $_SERVER['REMOTE_ADDR'] 。 "'";，我这样做会有危险吗？

再说一次，这可能是一个“菜鸟”问题，但我觉得必须问。

谢谢

Answer 1

这是一个延伸，而且不太可能，但我不会说这是不可能的。所以...

无论如何都要使用参数化查询。

即使您从未通过 IP 地址字段受到攻击，您仍然可以通过缓存获得更快查询的额外好处。

Answer 2

您不能依赖 REMOTE_ADDR 为真...由于匿名代理或某些此类技巧，它可能是错误的地址。您可以相信它始终是一个IP地址，因此不可能通过此路径进行SQL注入。

在堆栈的底部，它是从与服务器建立 TCP 连接的数据包上的源地址转换而来的。这意味着 a) 它必须是 IP 地址，b) 它必须路由回客户端才能发生连接。

Answer 3

我认为有人伪造 $_SERVER['REMOTE_ADDR'] 的唯一方法是构造一个带有假 IP 地址的 IP 数据包（因为它是由服务器而不是客户端设置的），哪些案例响应将被路由回伪造的地址。如果您担心注入攻击，我想您没问题，因为 IP 数据包中的地址字段只留有地址空间。

Answer 4

始终清理所有外部输入 - 使用 mysql_real_escape_string，或者更好的是，准备好声明

Answer 5

您可以使用 PHP 的数据过滤功能。

filter_var() 和 FILTER_VALIDATE_IP 将验证远程 IP。如果远程 IP 有效，则在 SQL 中使用它。

编辑：带有 INPUT_SERVER 的 filter_input() 是另一种选择;)

http://www. php.net/manual/en/book.filter.php

http://www.php.net/manual/en/filter.filters.validate.php

http://www.php.net/manual/en/function.filter-var.php

http://www.php.net/manual/en/function.filter-input.php

希望这会有所帮助，

Simeon

Answer 6

REMOTE_ADDR 不是由客户端发送的，而是由服务器设置的。虽然技术上可以在网络级别欺骗 IP 地址，但攻击者必须盲目工作。最棘手的部分是猜测序列号。 （顺便说一句，在 Coldfusion 下，它是 另一个故事。）

正如其他人所说，使用准备好的语句，您不需要担心 SQL 注入（尽管其他类型的注入攻击也是可能的）。

Answer 7

我总是把这段代码放在我的所有项目中（一些初始输入清理），以防止出现伪造 IP 的情况。
我不确定他们是否可以伪造 REMOTE_ADDR。

function validate_ip($ip) {
    // Try IPv4 First, as its the most used method right now
    if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
        // Oops... try v6
        if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) {
            return false; // Sorry...
        }
        else {
            return true;
        }
    }
    else {
        return true;
    }
}
if(!isset($_SERVER['REMOTE_ADDR'])) # wtf?
    die("Could not find your IP Address...");
else {
    if(validate_ip($_SERVER["REMOTE_ADDR"]))
        die("Could not validate your IP Address...");
}

Answer 8

为了效率和安全，您可能希望将 IP 作为整数存储在数据库中并使用。

存储 IP 地址的直接方法是在数据库中使用 varchar 字段。然而，另一种表示 IP 的方法是用整数表示。以这种方式转换提供的 IP 可以对其进行清理，并且还可以使您的存储和查询更加高效。存储 INT 在数据库中占用的空间更少，并且更适合索引，并且我相信查询缓存。

查看 ip2long 和 long2ip 用于 PHP 函数转换，以及 inet_aton 和 inet_ntoa 在 MySQL 中执行此操作。

因此，该过程可能会像这样

$user_ip=ip2long($_SERVER['REMOTE_ADDR']);
if(!$user_ip){ //returned false due to odd input
   echo 'wtf, yo';
   }
else{
   //do your query
   }

您还可以通过组合两者来清理 IP 并将其保留为原始的点分四边形形式

$user_ip=long2ip(ip2long($_SERVER['REMOTE_ADDR']));