SQL注入和两个查询

Question

因此，我阅读了有关 SQL 注入的文章，其中有一个示例：

SELECT * FROM table_name WHERE smth = 'x'; 
UPDATE table_name SET smth ='[email protected]' WHERE user = 'admin';

Why it does not work?或者这是一篇旧文章，现在这种方式是无稽之谈？那么黑客是如何更新mysql的呢？ 谢谢。

Answer 1

现在大多数站点都使用参数化 SQL，而不是内联 SQL。例如，如果有解析的内联 SQL，类似于以下内容，就会出现上述情况：

非参数化伪

string sql = "SELECT * FROM table_name WHERE smth='" + UserInput + "'";
ExecuteSql(sql);

...其中 UserInput 定义网站上的元素。

您不是向 UserInput 字段添加有效数据，而是添加

UserInput = '';DROP table_name;

...实际上是在查询末尾添加新逻辑，从而导致系统被恶意使用。

参数化语句消除了 SQL 注入的可能性，因为您无法通过将逻辑插入到签名中来修改查询的结构。

如果您尝试将 UserInput 字段设置为恶意查询，但站点在语句中使用了参数，那么您就不走运了。

参数化伪：

Adapter proc;
proc.StoredProcedure = "GetUserNames"
proc.AddParameter("@USER",UserInput);
proc.Execute();

...因为 @USER 现在等于文字“'\;DROP table_name;”，SQL 将其视为常规 ol' 参数。

Answer 2

这取决于您如何执行上面的代码。

许多代码语言都有专用的数据库通信类，您可以使用 sql 参数而不是连接字符串来提供这些通信类。

SQL 注入的风险是忘记转义查询中的某些用户输入，从而允许执行格式错误的查询。

Answer 3

SQL 注入攻击背后的想法是这样的：

我有一个网站，让用户搜索有关动物的信息。用户输入动物的名称，然后运行：

select * from animals where name = '$[what the user typed in]';

因此，如果他们输入绵羊，查询将变为：

select * from animals where name = 'sheep';

但是，如果他们输入：“绵羊”会怎样？掉落桌子动物'？如果我只是复制他们在查询中输入的内容并运行它，我将运行：

select * from animals where name = 'sheep'; drop table animals;

这会很糟糕。

如果设置网站和数据库的人员不仔细查找和清理用户输入内容中的任何 SQL，这种攻击仍然可能发生。

Answer 4

DB 101 强烈警告 SQL 注入，因此现在大多数开发人员都意识到了这一点并阻止了它。这通常是通过使用某种预准备语句来完成的，其中参数是通过防止执行任意 SQL 的机制注入的。惰性编程仍然会导致漏洞，而且它们确实存在，但盲目的动态 SQL 构建越来越少见。

Answer 5

当您有查询“模板”并且需要用户输入来填写某些查询时，SQL 注入攻击就可能发生。例如，您可能有一个执行以下操作的 PHP 脚本：

<?php
$smth_value = $_POST["smth"];  // some form field
$smth_user  = $_POST["user"];  // some other form field
$smth_email = $_POST["email"]; // yet another form field

$sql1 = "SELECT * FROM table_name WHERE smth = '".$smth_value."'";  
$sql2 = "UPDATE table_name SET smth ='".$smth_email."' WHERE user = '".$smth_user."'";

mysql_query($sql1);
mysql_query($sql2);    
?>

如果某人知道我的表的结构（或以某种方式弄清楚了），他们可以通过将 SQL 文本放入表单字段来“注入”SQL 到我的查询中结果我的 SQL 变量字符串看起来像两个用分号分隔的有效查询。例如，某人可以在“smth”表单字段中输入如下内容：

';DELETE FROM table_name WHERE 1=1 OR smth='

然后 $sql1 最终会看起来像：

SELECT * FROM table_name WHERE smth = '';DELETE FROM table_name WHERE 1=1 OR smth=''

... 然后就会出现 table_name 中的所有数据。

这就是为什么 PHP 中有像 mysql_escape_string 这样的函数来帮助保护字符串免受此类攻击。如果您知道变量应该是数字，请将其转换为数字。如果有文本，请将其包装在字符串转义函数中。这就是防御的基本思路。