如何防止MySQL命令行shell界面中的SQL注入？

Question

我使用 shell 脚本与 MySQL 数据库通信。 MySQL 支持将查询指定为 shell 参数，如下所示：

mysql my_db -B -N -e "select id from Table"

但是，如果我有一个参数，我想在查询中使用该参数，那么如何获得针对注入攻击的保护？

一种简单的方法是将变量值粘贴到请求中，但这不是很安全：

mysql my_db -B -N -e "select id from Table where name='$PARAM'"

是否有任何技巧或记录的接口可以从命令行进行注入安全查询？

Answer 1

您可以对值进行 Base64 编码，然后在 MySQL 中对其进行 Base64 解码。 MySQL中有UDF用于将Base64数据转换为普通数据。此外，大多数系统要么具有 uuencode，要么具有用于 Base64 编码数据的“base64”命令。

Answer 2

您不仅需要防止 SQL 注入，还需要防止 shell 注入。您可能希望将查询（在清理任何动态部分之后）写入文件，然后将该文件重定向到 mysql，而不是希望查询不会破坏 shell。考虑：

PARAM="name'\"; rm -rf / ; echo 'pwn3d U"

成为

mysql my_db -B -N -e "select id from Table where name='name'"; rm -rf / ; echo 'pwn3d U'

或：

command 1: mysql my_db -B -N -e "select id from Table where name='name'"
command 2: rm -rf /
command 3: echo 'pwn3d U'

相反，执行类似的操作：

 cat <<EOT > query.sql
 select .... blah blaah blah .... sanitized query here
 EOT
 mysql my_db -B -N < query.sql

这将防止任何用户指定的数据出现在 shell 命令本身中，从而防止至少一级的注入漏洞。但是，你仍然需要处理 SQL 注入问题。

Answer 3

每当您通过连接参数构造 SQL 时（如您的示例中所示），您的应用程序都容易受到 SQL 注入攻击。维基百科上有一篇关于此问题的文章，链接如下： http://en.wikipedia.org/wiki/SQL_injection

我怀疑您会想要编写一个 unix 过滤器来使用本文中提到的 mysql_real_escape_string 函数构建 SQL 查询。

考虑将 SQL 作为第一个参数传递，将变量作为后续参数传递，然后让它返回构造的 SQL。如果您将过滤器命名为“blobbo”，则示例中的命令可能如下所示：

blobbo "select id from Table where name=%s" $PARAM

Answer 4

Sargun Dhillon 的回答为我指明了正确的方向。不幸的是，FROM_BASE64 在 MySQL 5.6 之前不可用，所以我选择了 UNHEX。

下面的脚本是一个从 shell 查询 Redmine 用户详细信息的示例。如果不受信任的用户可以访问此脚本，我仍然睡不好，但对我来说它足够安全。 （它也仅限于字符串值，并且您的查询中不应该有问号，但这些限制对我来说没有问题。）

#!/bin/bash

MYSQL_OPTS='--defaults-file=/etc/redmine/mysql.cnf'

mysql_query() {
  local db=$1
  local sql=$2
  shift 2 || return 1
  declare -a args=("$@")

  sql=${sql//[%]/%%}
  sql=${sql//[?]/UNHEX('%s')}
  for ((i=0; i<${#args[@]}; i++)); do
    args[$i]=$(echo -n "${args[$i]}" | hexdump -v -e '/1 "%02X"')
  done
  sql=$(printf "$sql" "${args[@]}")
  mysql $MYSQL_OPTS "$db" -e "$sql" || return $?
}

for u in "$@"; do
  mysql_query redmine 'select * from users where login=?\G' "$u" 
done

如果您发现我错过的任何 SQL 或 Shell 注入，请发表评论。