此查询是否容易受到 SQL 注入攻击？

Question

$myq = sprintf("select user from table where user='%s'", $_POST["user"]);

我想知道是否可以使用 SQL 注入来利用上述查询。是否有任何高级 SQL 注入技术可以破坏此特定查询的 sprintf ？

Answer 1

我不认为它需要特别高级...尝试输入

' OR 1 = 1 OR user='

换句话说，您将得到以下 SQL：

select user from table where user='' OR 1 = 1 OR user=''

这看起来像您真正想要执行的查询吗？ （现在考虑它删除表或类似内容的可能性。）

底线是您应该使用参数化查询。

Answer 2

是的，我想说你那里有一个潜在的问题:)

你需要转义：\x00、\n、\r、\、'、" 和 \x1a。sprintf() 不会这样做，sprintf() 不会对字符串进行任何修改，它只是根据您指定的格式将您提供的任何可变参数扩展到您提供的缓冲区中。

如果字符串正在被转换，则可能是由于 魔法引号（如Rob 在评论中指出)，而不是 sprintf() 如果是这种情况，我强烈建议禁用它们。

Answer 3

使用 sprintf 不会为您提供比使用简单字符串更多的保护连接。 sprintf 的优点只是比使用简单 PHP 的字符串连接更具可读性。但是，在使用 %s 格式时，sprintf 只执行简单的字符串连接：

$str = implode('', range("\x00", "\xFF"));        // string of characters from 0x00 – 0xFF
var_dump(sprintf("'%s'", $str) === "'".$str."'"); // true

您需要使用转义要插入数据的上下文特殊字符的函数（在本例中是 MySQL 中的 字符串声明 ，假设您使用的是 MySQL），例如 **mysql_real_escape_string** 的作用：

$myq = sprintf("select user from table where user='%s'", mysql_real_escape_string($_POST["user"]));

Answer 4

当 $_POST["user"] 等于 "';SHUTDOWN;" 时- 会发生什么？

Answer 5

实际上，关闭魔术引号。

在 PHP 中，在适当的情况下使用过滤器：

$inUser = $_POST['user'];
$outUser = filter_var($inUser, FILTER_SANITIZE_STRING);

过滤器去除 HTML 标签并转义各种字符。

此外，你可以让你的数据库为你转义它：

$inUser = $_POST['user'];
$outUser = mysqli_real_escape_string($conn, $inUser);

这会转义 MySQL 特定的特殊字符，如双引号、单引号等。

最后，你应该使用参数化查询：

$sql = "SELECT user FROM table WHERE user = ?";
$stmt = $pdo->prepare($sql);
$params = array($outUser);
$stmt->execute($params);

参数化查询会自动在字符串等周围添加引号，并且具有进一步的限制使 SQL 注入变得更加困难。

我按顺序使用这三个。

Answer 6

啊，我带来了神奇的答案！ :)
神奇的引号可以为你转义！

所以，你必须关闭 magic_quotes_gpc ini 指令
然后按照建议使用 mysql_real_escape_string 。

Answer 7

是的。

如果有人在您的表单中以用户身份输入以下内容：

'; delete * from table

Answer 8

$_POST["user"] = "' or 1=1 or user='"