SQL 注入 - 这（oneliner）安全吗？

Question

PHP：

$SQL = "SELECT goodies FROM stash WHERE secret='" .  
    str_replace("'",'',$_POST['secret']) .  
"'";  

邪恶的天才黑客能否将 SQL 注入到我的 SELECT 中 - 如何？

Answer 1

为什么不使用 mysql_real_escape_string() 甚至更好的准备好的语句？你的解决方案看起来很愚蠢。

Answer 2

我已经考虑这个问题有一段时间了，但我看不出有什么方法可以将 SQL 注入到这个语句中。

以单引号开头的 SQL 字符串在下一个单引号处终止，除非它使用反斜杠或另一个引号（\' 或 ''）进行转义。由于您要删除所有单引号，因此不能有双引号。如果您转义结束引号，您将收到错误，但不会出现 SQL 注入。

然而，此方法有许多缺点：

• 输入中的单引号被忽略。
• 输入中的反斜杠未正确处理 - 它们将被视为转义码。
• 如果最后一个字符是反斜杠，则会出现错误。
• 如果您稍后扩展查询以添加第二个参数，则会允许 SQL 注入攻击。

例如：

$SQL = "SELECT goodies FROM stash WHERE secret='" .  
    str_replace("'",'',$_POST['secret']) .  
"' AND secret2 = '" .
    str_replace("'",'',$_POST['secret2']) .  
"'";  

当使用参数 \ 和 OR 1 = 1 -- 调用时，会导致：

SELECT goodies FROM stash WHERE secret='\' AND secret2=' OR 1 = 1 -- '

MySQL 会看到这样的结果：

SELECT goodies FROM stash WHERE secret='...' OR 1 = 1

即使不可能导致注入在这种情况下，其缺点使其不适合作为避免 SQL 注入的通用方法。

正如已经指出的，解决方案是使用准备好的语句。这是防止SQL注入攻击最可靠的方法。

Answer 3

或许。
最好的办法是：

$query = sprintf("SELECT goodies FROM stash WHERE secret='%s'",
addcslashes(mysql_real_escape_string($_POST['secret']),'%_'));

Answer 4

为什么不使用mysql_escape_string？是的，他可以，添加 " 而不是 ' 并且加上，我猜这个查询会给你一个错误。