这个查询可以安全地避免 SQL 注入吗？

Question

该脚本使用 PHP 编写，作为数据库，我使用 MySQL。这是脚本本身。

$unsafe_variable = $_GET["user-input"];
$sql=sprintf("INSERT INTO table (column) VALUES('%s')",$unsafe_variable);
mysql_query($sql);

有人说，如果用户将 ;DROP TABLE blah; 字符串分配给变量 $unsafe_variable ，则会删除该表。

但我尝试了这个例子，

http://localhost/test.php?user-input=DROP%20TABLE%20my_table 

但它没有删除表，而是在表中插入了一个新行 (;DROP TABLE blah;) 。

有人能解释一下如何通过 sql 注入来攻击这个脚本吗？

Answer 1

我认为您需要尝试的示例是 http://localhost/test.php?user-input=';DROP%20TABLE%20my_table'

');关闭 values('%s 段，然后发出新命令，drop table...

Answer 2

mysql_real_escape_string($unsafe_variable)

Answer 3

有人说如果用户分配;DROP TABLE blah;字符串到变量 $unsafe_variable 它会删除表。

显然情况并非如此 - 但如果您不明白为什么，那么您就无法判断您的代码是否安全。你要把每一行都贴在这里来检查它是否安全吗？

无需详细解释上面的代码在做什么以及如何破坏它（SQL 注入在其他地方已经有很好的记录 - 首先尝试 Google），您应该始终确保离开 PHP 代码的任何数据都采用正确的表示形式对于它要去的地方。

对于 MySQL 数据库，这意味着：

1）使用 mysql_real_escape_string 的输出（并确保传递正确的资源句柄）

或

2）使用参数绑定。

对代码注入攻击的适当讨论可以轻松地填满数百页 - 在 SO 查询中回答有点多。

C.

Answer 4

不， sprintf 不会逃避内容使用：

$unsafe_variable = mysql_real_escape_string($_GET["user-input"]);
$sql=sprintf("INSERT INTO table (column) VALUES('%s')",$unsafe_variable);
mysql_query($sql);

Answer 5

处理不安全变量的唯一方法是使用绑定参数。

请阅读 此页面了解如何防止 SQL 注入，来自 bobby-tables.com。

Answer 6

虽然mysql_query只允许执行一个查询，但一般来说这个查询并不安全。会利用您的查询的危险输入的示例是：

'); DROP TABLE my_table; --

开头的 '); 将关闭您的查询并插入一个空值，但将允许在 INSERT 之后执行其他查询。然后，在删除表格后，末尾的 -- 会将后面的所有其他内容（即查询的其余部分）标记为注释。

为了安全地准备在查询中使用的输入，请使用 mysql_real_escape_string。

Answer 7

mysql_query() 不允许在一个函数中执行多个查询。所以你不能插入然后删除表。但你不应该依赖它作为“安全”。请改用参数化查询。查看 PHP 的 PDO 库。

但是，他们可以更改任何其他内容，例如可能从另一个表中选择密码字段作为子查询放入该表中，以便他们可以查看哈希值。

Answer 8

由于 PHP 的 mysql_query 函数只允许每次调用一次查询，因此该特定注入不起作用。但是，如果column具有主键或唯一键，则以下方法可能有效：

$unsafe_variable = "admin') ON DUPLICATE KEY UPDATE password=MD5(CONCAT('knownsalt', 'newpassword'))#";

最好使用冗长的mysql_real_escape_string函数：

$sql=sprintf("INSERT INTO table (column) VALUES(%s)",
             mysql_real_escape_string($unsafe_variable));
mysql_query($sql);