24

Уже давно меня мучает вопрос: Как защитить свой сайт от SQL-Injection. В былые времена я использовал mysql_real string_escape для экранирования кавычек. Но прошло некое время, и я узнал про PDO, говорится, мол, эта тема неплохо поможет в защите сайта. Скажем, я не великий хакер и никак это не могу проверить, я знаю, что при mysql_real string_escape все кавычки и прочая ерунда экранировались - и вуаля, вы уже в домике.

Сейчас я работаю над своим проектом и решил проверить сайт на защиту проникновения. В результате, что я делал:

Я просто брал и вводил данные с кавычками, например, Infor`mat'ion. Как я уже говорил, я не великий хакер, но точно знаю, что вся эта дрянь должна экранироваться, но она так и заносилась в базу данных, что натолкнуло меня на мысль, что никакой защиты у меня, по сути, и нету. А данные я заносил вот таким вот образом:

$sql = "INSERT INTO chat (time, login, private, text) values(?, ?, ?, ?)";
$db->prepare($sql)->execute(array($time, $login, $private, $text));`

Этот метод я вычитал на хабре в "Почему стоит пользоваться PDO для работы с базой данных", подключение такое же, как и указано в статье.

Как можно защититься от этих инъекций?

2
  • @IamS Я немного дополнил ответ. Возможно, Вам или сообществу будет интересно узнать, какие ещё меры можно/нужно предпринять, чтобы "спать спокойно".
    – romeo
    22 янв 2015 в 21:02
  • 2
    Вывод вы сделали неверный, отсуда и все проблемы. но точно знаю, что вся эта дрянь должна экранироваться, но она так и заносилась в базу данных. Эта дрянь экраниловалась, что бы она записалась в базу в том виде, что есть и не повлияла на выполнение запроса, в том числе, не изменила его поведение, тем самым протисояв SQL инъекциям. Т.е. экранирование сделало свое дело, в базу попало именно то, что ввел пользователь. Вот если бы вашь запрос обломался, было бы очень плохо, ибо позволило вставив в текст кусок SQL, выполнить его.
    – Vitalts
    21 дек 2015 в 7:44

3 ответа 3

31

При использовании подготовленных выражений (prepared statement) параметры внешнего происхождения отправляются на сервер отдельно от самого запроса либо автоматически экранируются клиентской библиотекой.

Создаём таблицу drop_table. Далее

$name = "Evil'); DROP TABLE drop_table;--";

$sql = "INSERT INTO `test` (`name`) values('{$name}');";
$statement = $db->prepare($sql);
$statement->execute();

Таблица drop_table успешно удалена. :)

Теперь тот же запрос, но только через prepared statement:

$sql = "INSERT INTO `test` (`name`) values(?);";
$statement = $db->prepare($sql);
$statement->execute([$name]);

В таблицу test добавилась запись Evil'); DROP TABLE drop_table;--

UPDATE


Таким образом, мы обезопасили себя от SQL injection, но не защитили от XSS.

В последнем случае требуется:

  • валидация. К примеру, если необходимо оповестить пользователя о недопустимости введёных им данных либо для логирования;
  • санитизация. Приведение данных к соответствующему типу (int)$age. В PHP существует набор фильтров, созданных именно для таких случаев;
  • использования облегченного языка разметки. Markdown - именно им Вы и пользуетесь на хэшкоде, либо можно задействовать старичка bbCode. В идеале заставить не только рядового пользователя, но и администрацию сайта пользоваться им. В целях оптимизации, (чтобы каждый раз не парсить), можно воспользоваться key-value storage (memcached, redis,...) для хранения html версии.

Если по каким-то причинам требуется хранить в базе html от источника, который не вызывает доверие, то можно воспользоваться HTML Purifier.

Немного рекламы: :)

0
6

Все правильно: в таблицу и должна добавляться строка «Infor`mat'ion». Экранирование должно происходить именно в момент запроса, а не храниться в таком виде. И PDO прекрасно с этим справляется. И mysql_real_escape_stringmysqli_real_escape_string) — тоже. И даже str_replace — это тоже способ защититься. (См. UPD) То новое, что нам дает PDO, так это слежение за типами передаваемых данных и разграничение действия и данных. Популярная ошибка, которая приводила к плачевным результатам заключалась в том, что некоторые забывали проверять нестроковые типы:

$q = "SELECT * FROM `table` WHERE `id` = ".$_GET['post_id'];

Разница налицо:

$q = "SELECT * FROM `table` WHERE `id` = ".intval($_GET['post_id']);

Или просто всегда обрабатывай входные данные, следи за кавычками, за возможными представлениями чисел, за представлениями bool-данных... Или просто положись на готовую обертку, к примеру, PDO. :)

UPD: WARNING!

mysqli_real_escape_string (вероятно), mysql_real_escape_string, а тем более str_replace — небезопасны (\xbf\x27 и другие проблемы), используйте MySQL только в режиме настоящих подготовленных запросов! PDO нужно правильно использовать (спасибо @romeo за ссылку).

4
  • P.S. Кстати, мне вот интересно: PDO ведет себя так, будто он передает MySQL запрос и ассоциированные параметры отдельно. Это так, или он все таки на своей стороне формирует обычный запрос?
    – Bars
    22 янв 2015 в 20:19
  • @Bars, умеет оба кейса, насколько знаю.
    – etki
    22 янв 2015 в 20:24
  • 2
    @Bars PDO по дефолту эмулирует это поведения для всех движков, в том числе и для тех, которые в этом не нуждаются (к примеру, mysql из таких). Почитать.
    – romeo
    22 янв 2015 в 21:34
  • @romeo, большое спасибо за чтиво, я как раз недавно сталкивался с ошибкой, которая была следствием эмуляции, и никак не мог понять в чем дело: $stmt = $pdo->prepare("SELECT user_id FROM users LIMIT :limit"); $stmt->bindValue('limit', 10); $stmt->execute(); /* ...check the manual that corresponds to your MySQL server version for the right syntax to use near ''10'' */ Я догадался указывать тип (делал ORM, так что, моя система это позволяла): $stmt->bindValue('limit', 10, PDO::PARAM_INT); Но теперь я знаю первопричину проблемы, спасибо.
    – Bars
    24 янв 2015 в 15:18
3

PDO, и его prepare.

$temp = $mysql->prepare('DELETE FROM `unigies` WHERE `idUser` = :idUser Limit 1;');
$temp->bindParam(':idUser', $id, PDO::PARAM_INT);
$temp->execute();

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.