我可以对这段代码进行 SQL 注入吗？

Question

我仍在学习 SQL 注入，但对我来说最好的方法始终是使用示例，所以这是我代码的一部分：

$sql = "INSERT INTO `comments` (`id`, `idpost`, `comment`, `datetime`, `author`, `active`) 
        VALUES (NULL, '" . addslashes($_POST['idcomment']) . "', '" . 
        addslashes($_POST['comment']) . "', NOW(), '" . 
        addslashes($_POST['name']) . "', '1');";

  mysql_query($sql);

知道所有 POST 变量都是由用户输入的，你能告诉我如何进行注入吗这个脚本？这样我就可以更多地了解这个漏洞。谢谢！

我的数据库服务器是MySQL。

Answer 1

不要使用addslashes()，始终使用mysql_real_escape_string()。在已知的边缘情况下，addslashes() 是不够的< /a>.

如果从头开始做新的事情，最好使用支持准备好的语句的数据库包装器，如 PDO 或 mysqli。

Answer 2

大多数其他答案似乎完全忽略了这个问题的要点。

也就是说，根据上面的示例（尽管您的代码没有遵循 mysql_real_escape_string() 的最佳实践使用），当您使用 addslashes 时，我无法注入任何真正有害的内容()。

但是，如果您要省略它，用户可以在 name 字段中输入一个字符串，如下所示：

some name'; DROP TABLE comments; --

目标是结束当前语句，然后执行您自己的语句。 -- 是一条注释，用于确保处理注入的字符串后通常不会出现任何情况。

然而（再次），据我了解，MySQL 默认情况下会在单个语句执行结束时自动关闭数据库连接。因此，即使我确实尝试删除一个表，MySQL 也会导致第二条语句失败。

但这并不是唯一的 SQL 注入类型，我建议您阅读更多有关该主题的内容。我的研究发现了来自 dev.mysql.com 的这份文档，该文档非常好： http://dev.mysql.com/tech-resources/articles/guide-to-php-security-ch3.pdf

---

Edit, another thought:

根据数据进入数据库后发生的情况，我可能根本不想注入任何 SQL。我可能想注入一些 HTML/JavaScript，当您将数据发布回 跨站脚本（XSS）攻击。这也是需要注意的事情。

Answer 3

如前所述，对于字符串，使用 mysql_real_escape_string() 而不是 addslashes() 但对于整数，使用intval()。

/* little code cleanup */

$idcomment = intval($_POST['idcomment']);
$comment = mysql_real_escape_string($_POST['comment']);
$name = mysql_real_escape_string($_POST['name']);

$sql = "INSERT INTO comments (idpost, comment, datetime, author, active)
        VALUES ($idcomment, '$comment', NOW(), '$name', 1)";

mysql_query($sql);

Answer 4

Addslashes 仅处理引号。

但这里还有一些更重要的情况：

Be careful on whether you use double or single quotes when creating the string to be escaped:

$test = 'This is one line\r\nand this is another\r\nand this line has\ta tab';

echo $test;
echo "\r\n\r\n";
echo addslashes($test);

$test = "This is one line\r\nand this is another\r\nand this line has\ta tab";

echo $test;
echo "\r\n\r\n";
echo addslashes($test);

另一种情况：

In particular, MySQL wants \n, \r and \x1a escaped which addslashes does NOT do. Therefore relying on addslashes is not a good idea at all and may make your code vulnerable to security risks.

还有一种情况：

Be very careful when using addslashes and stripslashes in combination with regular expression that will be stored in a MySQL database. Especially when the regular expression contain escape characters!

To store a regular expression with escape characters in a MySQL database you use addslashes. For example:

$l_reg_exp = addslashes( �[\x00-\x1F]� );

After this the variable $l_reg_exp will contain: [\\x00-\\x1F].

When you store this regular expression in a MySQL database, the regular expression in the database becomes [\x00-\x1F].

When you retrieve the regular expression from the MySQL database and apply the PHP function stripslashes(), the single backslashes will be gone!

The regular expression will become [x00-x1F] and your regular expression might not work!

请记住，神奇的情况可能发生在：

• addslashes
• 添加到数据库之前，
• 中，在检索后 它可能会错过某些内容来自数据库

您的示例只是摘录。真正的问题在这里可能还看不出来。。

---

（基于 php.net 的评论，这些评论通常比手册更有价值本身）