mysql_real_escape_string 不够好？

发布于 2024-10-21 19:22:19 字数 700 浏览 2 评论 0原文

因此，即使使用 mysql_real_escape_string 清理数据，也可以使用 %27 进行 SQL 注入

%27) SQL INJECTION HERE %2F*

该怎么办？

编辑示例：

$sql = sprintf("SELECT *, MATCH(post) AGAINST ('%s*' IN BOOLEAN MODE) AS score FROM Posts WHERE MATCH(post) AGAINST('%s*' IN BOOLEAN MODE)",
                mysql_real_escape_string($_GET['searchterm']),
                mysql_real_escape_string($_GET['searchterm']));

$results = $db->queryAsArray($sql);

如果您将 %27) SQL INJECTION HERE %2F* 传递到搜索词查询字符串，我会在页面上输出：

您的 SQL 语法有错误；检查对应的手册您的 MySQL 服务器版本在 'BOOLEAN 附近使用正确的语法 MODE)' 在第 1 行

感谢大家在 db 类中发现问题。

原文

So using %27 you can just SQL inject even though data is sanitized with mysql_real_escape_string

%27) SQL INJECTION HERE %2F*

What to do?

Edit with example:

$sql = sprintf("SELECT *, MATCH(post) AGAINST ('%s*' IN BOOLEAN MODE) AS score FROM Posts WHERE MATCH(post) AGAINST('%s*' IN BOOLEAN MODE)",
                mysql_real_escape_string($_GET['searchterm']),
                mysql_real_escape_string($_GET['searchterm']));

$results = $db->queryAsArray($sql);

If you pass in %27) SQL INJECTION HERE %2F* to the searchterm querystring, I get outputted on the page:

You have an error in your SQL syntax;
check the manual that corresponds to
your MySQL server version for the
right syntax to use near 'BOOLEAN
MODE)' at line 1

Thanks everyone for finding the problem in the db class..

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

烏雲後面有陽光 2024-10-28 19:22:19

从方法名称 queryAsArray 推理，您似乎正在使用这个DbBase类来自MySQL函数手册页的注释。如果是这样，则 query 方法会从转义引号中删除转义字符：

function query($sql, &$records = null){
    $sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
    // …
}

那么您的示例有效（我简化了它）就不是奇迹了：

$input = "', BAD SQL INJECTION --";

$sql = "SELECT '".mysql_real_escape_string($input)."'";
var_dump($sql);  // string(33) "SELECT '\', BAD SQL INJECTION --'"
//                      everything’s OK ↑

$sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
var_dump($sql);  // string(32) "SELECT '', BAD SQL INJECTION --'"
//                                Oops! ↑

Reasoning from the method name queryAsArray, it seems that you’re using this DbBase class from the comments of the MySQL functions manual page. If so, it’s the query method that removes the escape character from the escaped quotation marks:

function query($sql, &$records = null){
    $sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
    // …
}

Then it’s not a miracle that your example works (I simplified it):

$input = "', BAD SQL INJECTION --";

$sql = "SELECT '".mysql_real_escape_string($input)."'";
var_dump($sql);  // string(33) "SELECT '\', BAD SQL INJECTION --'"
//                      everything’s OK ↑

$sql = str_replace(array('\\"', "\\'"), array('"', "'"), $sql);
var_dump($sql);  // string(32) "SELECT '', BAD SQL INJECTION --'"
//                                Oops! ↑

回复收藏 0 原文

晨光如昨 2024-10-28 19:22:19

我们手册中提到的注释已被标记为删除。一旦它传播到我们网络中的所有镜像，它将不再出现在官方文档中。

~ Daniel P. Brown
  Network Infrastructure Manager
  http://php.net/

The note mentioned in our manual has been marked for deletion. Once it propagates across all of the mirrors in our network, it will no longer appear attached to the official documentation.

~ Daniel P. Brown
  Network Infrastructure Manager
  http://php.net/

回复收藏 0 原文

活雷疯 2024-10-28 19:22:19

最好根本不要构建这样的语句，而是使用 mysqli 或 PDO 来使用带有参数的查询。这将解决 MySQL 注入的问题，并且有一天（不幸的是，还没有）它也会执行得更好，因为查询是在没有参数的情况下缓存的，这意味着您在缓存中只有一个查询，而不是几十个不同的查询，因为单个输入值一直在变化。其他数据库很早就使用了这一点，但 MySQL 自最新版本以来只是设法不让参数化查询变慢。

%27 实际上会终止字符串，这看起来不太合理。这似乎更像是在字符串中嵌入引号的可能性，但我不确定。

可以肯定的是，我决定牺牲我的服务器来测试它。当我在输入字段和文本区域中输入 %27 并使用 mysql_real_escape_string 转义然后插入数据库时，我没有收到任何错误。文本 %27 刚刚插入。所以完全没问题。

回复收藏 0 原文