1

Предположим, я делаю серверное API, которое принимает и обрабатывает полноценные sql запросы к базе, а не только хранимые процедуры. Для обеспечения безопасности у меня есть список заблокированных команд (все, кроме select, insert, update и delete). Предполагая, что все строковые данные в запросе безопасны, я просто вырезаю их из пришедшего на сервер запроса, чтобы они не мешались в поиске опасных команд. Регексп вырезания строк:

/(\'|").*[^\\]\1/

Можно ли как-то составить sql запрос так, чтобы строковые данные нанесли вред базе данных?

P.S. Чтобы небыло недопониманий, под "строковыми данными" я подразумеваю данные, которые записаны внутри строковых литералов с ' или ". Например в этом запросе: select * from users where name="Vasya", "Vasya" является строковыми данными.

14
  • если я правильно понял? но что мешает написать в select что-то from что-то where a=a; например
    – Dmitriy
    31 авг 2018 в 8:25
  • вообще процедуры для того и созданы, чтобы избавиться от прямых запросов к базе, плюс в процедуре можно еще раз проверить данные, и если что-то пошло не так откатить транзакцию
    – Dmitriy
    31 авг 2018 в 8:27
  • @Dmitriy select писать можно, этому никто препятствовать не станет. Команду drop, например писать нельзя, за такое мой скрипт забанит. Но вопрос вообще не об этом.
    – Diskyp
    31 авг 2018 в 8:35
  • запрос с условием true ( типо where a=a , или where 1=1 ) выполнится?
    – Dmitriy
    31 авг 2018 в 8:43
  • @Dmitriy да, выполнится.
    – Diskyp
    31 авг 2018 в 8:44

1 ответ 1

1

Строковые литералы сами по себе всегда безопасны. Но ведь у вас регулярка неправильная! Строка в двойных кавычках в sql - это не литерал строки, а идентификатор... И сколько еще таких ошибок таит загадочный скрипт?

Гораздо лучше если вы воспользуетесь возможностями СУБД: заведёте отдельного ограниченного пользователя и будете выполнять чужие запросы от его имени.

1
  • Если честно, то можно было ограничиться первым предложением и как-то его подкрепить. Спасибо за участие.
    – Diskyp
    31 авг 2018 в 9:40

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.