Wie kann ich verhindern, dass SQL-injection in PHP?

Deprecated Warnung:
Diese Antwort ist Beispiel-code (wie bei der Frage sample code) verwendet PHP ' s MySQL - Erweiterung, die war deprecated in PHP 5.5.0 und entfernt vollständig in PHP 7.0.0.

Sicherheit Warnung: Diese Antwort ist nicht im Einklang mit security best practices. Flucht ist nicht ausreichend, um SQL-injection verhindern, verwenden Sie prepared statements statt. Verwenden Sie die Strategie, die unten beschrieben auf eigene Gefahr. (Auch mysql_real_escape_string() entfernt wurde, in PHP 7.)

Wenn Sie eine aktuelle version von PHP, die mysql_real_escape_string option unten beschrieben nicht mehr verfügbar (obwohl mysqli::escape_string ist ein modernes äquivalent). In diesen Tagen werden die mysql_real_escape_string option würde nur dann Sinn machen, für legacy-code, der auf einer alten version von PHP.

Du hast zwei Optionen - escaping der Sonderzeichen in Ihren unsafe_variable oder über eine parametrisierte Abfrage. Beide würden schützen Sie vor SQL-injection. Die parametrisierte Abfrage ist besser als die Praxis, sondern erfordern den Wechsel zu einer neueren MySQL-Erweiterung in PHP bevor Sie es verwenden können.

Werden wir decken das untere Auswirkungen string Flucht einer der ersten.

//Connect

$unsafe_variable = $_POST["user-input"];
$safe_variable = mysql_real_escape_string($unsafe_variable);

mysql_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

//Disconnect

Siehe auch die details der mysql_real_escape_string Funktion.

Verwenden Sie die parametrisierte Abfrage verwenden, benötigen Sie MySQLi eher als die MySQL Funktionen. Umschreiben Ihr Beispiel, wir bräuchten so etwas wie die folgenden.

<?php
    $mysqli = new mysqli("server", "username", "password", "database_name");

    //TODO - Check that connection was successful.

    $unsafe_variable = $_POST["user-input"];

    $stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

    //TODO check that $stmt creation succeeded

    //"s" means the database expects a string
    $stmt->bind_param("s", $unsafe_variable);

    $stmt->execute();

    $stmt->close();

    $mysqli->close();
?>

Die wichtige Funktion, die Sie wollen, um zu Lesen, es wäre mysqli::prepare.

Auch, wie andere vorgeschlagen haben, finden Sie es vielleicht hilfreich/einfacher Schritt, eine Ebene der Abstraktion, mit etwas PDO.

Bitte beachten Sie, dass der Fall Sie gefragt haben, ist ziemlich einfach und, mehr komplexe Fälle erfordern komplexere Ansätze. Insbesondere:

• Wenn Sie möchten, ändern Sie die Struktur der SQL-basierend auf Benutzereingaben, parametrisierte Abfragen sind nicht zu helfen, und die Flucht benötigt werden, fallen nicht unter mysql_real_escape_string. Bei dieser Art der Fall, Sie wäre besser dran, vorbei die Eingabe des Benutzers über eine whitelist, um zu gewährleisten, dass nur "sichere" Werte zugelassen werden.
• Wenn Sie ganze zahlen aus Benutzereingaben in eine Bedingung aus, und nehmen Sie die mysql_real_escape_string Ansatz, Sie leiden unter dem problem beschrieben Polynom in den Kommentaren unten. In diesem Fall ist es schwieriger, da ganze zahlen würden nicht von Anführungsstrichen umgeben sein, so dass Sie umgehen konnte, mit, indem Sie überprüfen, dass die Eingabe des Benutzers enthält nur Ziffern.
• Gibt es wahrscheinlich auch andere Fälle, ich bin mir nicht bewusst. Vielleicht finden Sie diese ist eine nützliche Ressource, die auf einigen der subtileren Probleme, die Sie stoßen.

InformationsquelleAutor

Ich würde empfehlen, mit PDO (PHP Data Objects) zum ausführen von parametrisierten SQL-Abfragen.

Dadurch wird nicht nur der Schutz vor SQL-injection, es beschleunigt auch Abfragen.

Und durch die Verwendung von PDO anstatt mysql_, mysqli_, und pgsql_ Funktionen, die Sie für Ihre app ein wenig mehr abstrahiert von der Datenbank, in die selten vorkommen, dass Sie haben, um Schalter Datenbank-Anbieter.

InformationsquelleAutor

Wie Sie sehen können, die Leute empfehlen die Verwendung von prepared statements. Es ist nicht falsch, aber wenn Sie Ihre Abfrage ausgeführt wird, nur einmal pro Prozess, es wäre eine leichte performance-Einbußen.

War ich vor diesem Problem, aber ich denke, ich löste es in sehr anspruchsvolle Art und Weise - die Hacker nutzen, um vermeiden Sie die Verwendung von Anführungszeichen. Ich habe diese in Verbindung mit emulierte vorbereitete Anweisungen. Ich benutze es, um zu verhindern, dass alle möglichen SQL-injection-Angriffe.

Mein Ansatz:

• Wenn Sie erwarten Eingaben werden integer-stellen Sie sicher, es ist wirklich integer. In einer Variablen-Typ-Sprache wie PHP ist es diese sehr wichtig. Sie können zum Beispiel diese sehr einfache, aber wirkungsvolle Lösung: sprintf("SELECT 1,2,3 FROM table WHERE 4 = %u", $input);

• Wenn Sie erwarten nichts anderes von integer hex es. Wenn Sie hex es, Sie perfekt zu entfliehen diesem allen, Eingang. In C/C++ gibt es eine Funktion namens mysql_hex_string(), in PHP, die Sie verwenden können bin2hex().

  Nicht befürchten, dass das escaped string haben 2x Größe seiner ursprünglichen Länge, weil, selbst wenn Sie mysql_real_escape_string, PHP zuordnen muss gleiche Kapazität ((2*input_length)+1), das ist das gleiche.

• Dieser hex-Methode wird oft verwendet, wenn Sie die übertragung von binären Daten, aber ich sehe keinen Grund, warum nicht verwenden Sie es auf alle Daten, die zur Vermeidung von SQL-injection-Angriffe. Beachten Sie, dass Sie voranstellen müssen Daten mit 0x oder verwenden Sie die MySQL-Funktion UNHEX statt.

So, zum Beispiel, die Abfrage:

SELECT password FROM users WHERE name = 'root'

Werden:

SELECT password FROM users WHERE name = 0x726f6f74

oder

SELECT password FROM users WHERE name = UNHEX('726f6f74')

Hex ist die perfekte Flucht. Keine Möglichkeit zu injizieren.

Unterschied zwischen UNHEX Funktion und 0x-Präfix

Gab es einige Diskussionen in den Kommentaren, so will ich endlich klar zu machen. Diese beiden Ansätze sind sich sehr ähnlich, aber Sie sind ein wenig anders, in gewisser Weise:

* * 0x** Präfix kann nur für Daten verwendet, die Spalten wie char -, varchar -, text -, block -, Binär, etc.

Auch seine Verwendung ist etwas kompliziert, wenn Sie legen Sie eine leere Zeichenfolge. Sie haben, um vollständig ersetzen Sie es mit '' oder Sie erhalten eine Fehlermeldung.

UNHEX() funktioniert auf alle Spalte; Sie haben keine sorgen zu machen über die leere Zeichenfolge.

Hex-Methoden werden oft als Angriffe

Beachten Sie, dass das hex-Methode wird Häufig verwendet, um eine SQL-injection-Angriff, wo die ganzen zahlen sind genau wie bei strings und entkam nur mit mysql_real_escape_string. Dann vermeiden Sie die Verwendung von Anführungszeichen.

Zum Beispiel, wenn Sie nur etwas wie das hier tun:

"SELECT title FROM article WHERE id = " . mysql_real_escape_string($_GET["id"])

einen Angriff zu injizieren Sie sehr leicht. Betrachten Sie die folgenden eingefügten code zurückgegeben, aus dem Skript:

SELECT ... WHERE id = -1 union all select table_name from information_schema.Tabellen

sind und jetzt nur noch extrahieren, die die Struktur einer Tabelle:

SELECT ... WHERE id = -1 union all select column_name from information_schema.Spalte table_name = 0x61727469636c65

Dann wählen Sie einfach alle Daten, die lieben wollen. Ist es nicht cool?

Aber wenn die coder von einem injizierbaren Website hex, keine injection möglich sein, da die Abfrage würde wie folgt Aussehen: SELECT ... WHERE id = UNHEX('2d312075...3635')

InformationsquelleAutor

Deprecated Warnung:
Diese Antwort ist Beispiel-code (wie bei der Frage sample code) verwendet PHP ' s MySQL - Erweiterung, die war deprecated in PHP 5.5.0 und entfernt vollständig in PHP 7.0.0.

Sicherheit Warnung: Diese Antwort ist nicht im Einklang mit security best practices. Flucht ist nicht ausreichend, um SQL-injection verhindern, verwenden Sie prepared statements statt. Verwenden Sie die Strategie, die unten beschrieben auf eigene Gefahr. (Auch mysql_real_escape_string() entfernt wurde, in PHP 7.)

Könnten Sie etwas tun, basic wie dieses:

$safe_variable = mysqli_real_escape_string($_POST["user-input"], $dbConnection);
mysqli_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

Diese nicht jedes problem lösen, aber es ist ein sehr gutes Sprungbrett. Ich verließ Sie offensichtlich Elemente, wie etwa die überprüfung der Variablen Existenz, formatieren (zahlen, Buchstaben, etc.).

InformationsquelleAutor

Deprecated Warnung:
Diese Antwort ist Beispiel-code (wie bei der Frage sample code) verwendet PHP ' s MySQL - Erweiterung, die war deprecated in PHP 5.5.0 und entfernt vollständig in PHP 7.0.0.

Sicherheit Warnung: Diese Antwort ist nicht im Einklang mit security best practices. Flucht ist nicht ausreichend, um SQL-injection verhindern, verwenden Sie prepared statements statt. Verwenden Sie die Strategie, die unten beschrieben auf eigene Gefahr. (Auch mysql_real_escape_string() entfernt wurde, in PHP 7.)

Parametrisierte Abfrage-UND Eingabe-Validierung ist der Weg zu gehen. Es gibt viele Szenarien, unter denen SQL-injection auftreten, obwohl mysql_real_escape_string() verwendet wurde.

Diese Beispiele sind anfällig für SQL-injection:

$offset = isset($_GET['o']) ? $_GET['o'] : 0;
$offset = mysql_real_escape_string($offset);
RunQuery("SELECT userid, username FROM sql_injection_test LIMIT $offset, 10");

oder

$order = isset($_GET['o']) ? $_GET['o'] : 'userid';
$order = mysql_real_escape_string($order);
RunQuery("SELECT userid, username FROM sql_injection_test ORDER BY `$order`");

In beiden Fällen können Sie nicht verwenden ' zum Schutz der Kapselung.

Quelle: Die Unerwartete SQL-Injection (Bei der Flucht Nicht Genug)

InformationsquelleAutor

Bin ich dafür, gespeicherte Prozeduren ( MySQL hat gespeicherte Prozeduren unterstützen seit 5.0 ) aus der Sicht der Sicherheit - die Vorteile sind -

1. Die meisten Datenbanken (einschließlich MySQL) dem Benutzer ermöglichen, den Zugang zu beschränken, die für das ausführen von gespeicherten Prozeduren. Die fine-grained security access control ist nützlich, um zu verhindern, dass die Eskalation von Privilegien angreift. Dies verhindert, dass kompromittierte Anwendungen nicht in der Lage zum ausführen von SQL direkt auf der Datenbank.
2. Sie Abstrakt die raw-SQL-Abfrage aus der Anwendung, so dass weniger Informationen über die Struktur der Datenbank ist in der Anwendung zur Verfügung. Dies macht es schwieriger für die Menschen zu verstehen, die zugrunde liegende Struktur der Datenbank und das design eignet Angriffe.
3. Sie akzeptieren nur Parameter, so dass die Vorteile der parametrisierten Abfragen sind da. Natürlich - IMO müssen Sie noch desinfizieren Sie Ihre Anregungen - vor allem wenn Sie mit dynamischen SQL in der gespeicherten Prozedur.

Die Nachteile sind -

1. Sie (gespeicherte Prozeduren) sind schwer zu pflegen und neigen dazu, sich zu vermehren sehr schnell. Dies macht die Verwaltung ein Problem.
2. Sie sind nicht sehr geeignet für dynamische Abfragen - wenn Sie gebaut werden, um dynamische code als Parameter, dann wird eine Menge der Vorteile verneint werden.

InformationsquelleAutor

Ich denke, wenn jemand will, um den Einsatz von PHP und MySQL oder eine andere Datenbank-server:

1. Denken lernen PDO (PHP Data Objects) – es ist ein Datenbank-Zugriff-Schicht bietet eine einheitliche Methode zum Zugriff auf mehrere Datenbanken.
2. Denken lernen MySQLi
3. Verwenden Sie das native PHP-Funktionen wie: strip_tags, mysql_real_escape_string oder, wenn die variable numerisch ist, nur (int)$foo. Lesen Sie mehr über den Typ von Variablen in PHP hier. Wenn Sie mit Bibliotheken wie PDO oder MySQLi verwenden Sie immer PDO::quote() und mysqli_real_escape_string().

Bibliotheken Beispiele:

---- PDO

----- Keine Platzhalter - reif für SQL-injection! Es schlecht

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) values ($name, $addr, $city)");

----- Unbenannte Platzhalter

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) values (?, ?, ?);

----- Benannte Platzhalter

$request = $pdoConnection->("INSERT INTO parents (name, addr, city) value (:name, :addr, :city)");

--- MySQLi

$request = $mysqliConnection->prepare('
       SELECT * FROM trainers
       WHERE name = ?
       AND email = ?
       AND last_login > ?');

    $query->bind_param('first_param', 'second_param', $mail, time() - 3600);
    $query->execute();

P. S:

PDO gewinnt diese Schlacht mit Leichtigkeit. Mit Unterstützung für zwölf
verschiedene Datenbank-Treiber und benannte Parameter, die wir ignorieren können, die
kleinen performance-Verlust, und erhalten Sie verwendet, um die API. Sicherheit
Standpunkt, beide von Ihnen sind so lange sicher, wie der Entwickler nutzt Sie
die Art, wie Sie eingesetzt werden sollen

Aber während die beiden PDO und MySQLi sind Recht schnell, MySQLi führt
unwesentlich schneller in benchmarks – ~2,5% für nicht-vorbereitet
Aussagen, und ~6,5% für Sie vorbereitet lieben.

Und bitte testen Sie jede Abfrage an Ihre Datenbank - es ist ein besserer Weg, um zu verhindern, dass die Injektion.

InformationsquelleAutor

Wenn Sie möchten, um die Vorteile der cache-engines, wie Redis oder Memcached, vielleicht DALMP könnte eine Wahl sein. Es nutzt rein MySQLi. Überprüfen Sie dies: DALMP Database Abstraction Layer für MySQL mit PHP.

Können, können Sie auch 'Vorbereitung' Ihre Argumente, bevor Sie die Vorbereitung Ihrer Abfrage, so dass Sie bauen können dynamische Abfragen und am Ende eine voll prepared statements Abfrage. DALMP Database Abstraction Layer für MySQL mit PHP.

InformationsquelleAutor

Verwendung dieser PHP-Funktion mysql_escape_string() Sie können eine gute Prävention in einer schnellen Weise.

Beispiel:

SELECT * FROM users WHERE name = '".mysql_escape_string($name_from_html_form)."'

mysql_escape_string — Escapes eine Zeichenfolge für die Verwendung in einem mysql_query

Für mehr Prävention, Sie können fügen Sie am Ende ...

wHERE 1=1   or  LIMIT 1

Endlich bekommen Sie:

SELECT * FROM users WHERE name = '".mysql_escape_string($name_from_html_form)."' LIMIT 1

InformationsquelleAutor

Die einfache alternative für dieses problem könnte gelöst werden, durch die Gewährung von entsprechenden Berechtigungen in der Datenbank selbst.
Zum Beispiel: wenn Sie eine MySQL-Datenbank dann in die Datenbank eingeben über terminal oder der Benutzeroberfläche zur Verfügung gestellt, und Folgen Sie einfach diesen Befehl:

 GRANT SELECT, INSERT, DELETE ON database TO username@'localhost' IDENTIFIED BY 'password';

Diese beschränken die Benutzer erhalten nur beschränkt mit der die angegebene Abfrage ist nur. Entfernen Sie die Berechtigung löschen und so die Daten nie gelöscht, aus der die Abfrage ausgelöst von der PHP-Seite.
Das zweite, was zu tun ist, Spülen Sie die Berechtigungen so, dass der MySQL aktualisiert die Berechtigungen und updates.

FLUSH PRIVILEGES; 

mehr Informationen über flush.

Sehen Sie die aktuellen Berechtigungen für den Benutzer Feuer die folgende Abfrage.

select * from mysql.user where User='username';

Erfahren Sie mehr über GRANT.

InformationsquelleAutor

In Bezug auf viele nützliche Antworten, ich hoffe, fügen Sie einige Werte in diesem thread.
SQL-injection ist ein Angriff, der kann getan werden, durch Eingaben des Benutzers (Eingaben, gefüllt durch user und dann in Abfragen), SQL-injection-Muster sind richtige Abfrage-syntax, während wir nennen es: bad-Abfragen für schlechte Gründe, gehen wir davon aus, dass es möglicherweise zu einem schlechten Menschen, die versuchen, geheime Informationen (unter Umgehung access control), die auf die drei Prinzipien der Sicherheit (Vertraulichkeit, Integrität, Verfügbarkeit).

Nun, unser Punkt ist, um zu verhindern, dass Bedrohungen wie SQL-injection-Angriffe, die Frage zu Fragen, (Wie Sie verhindern, dass SQL-injection-Angriff mit PHP), werden realistischer, Daten filtern oder löschen von input-Daten ist dann der Fall, wenn die Verwendung von Benutzer-input-Daten, die in einem solchen Abfrage mit PHP oder anderen Programmiersprachen nicht der Fall ist, oder wie empfohlen, um mehr Menschen zur Nutzung moderner Technik, wie eine vorbereitete Anweisung oder andere tools, die zurzeit unterstützt SQL-injection-Prävention, beachten Sie, dass diese tools nicht mehr verfügbar? Wie sichern Sie Ihre Anwendung?

Mein Ansatz gegen SQL-injection ist: clearing-user-input-Daten vor dem senden an die Datenbank (vor der Verwendung in einer Abfrage).

Daten-Filterung für die (Umwandlung von unsicheren Daten sichere Daten)
Bedenken Sie, dass PDO und MySQLi nicht verfügbar ist, wie können Sie sicher Ihre Anwendung? Tun Sie mich zwingen, Sie zu nutzen? Was ist mit anderen Sprachen außer PHP? Ich ziehe um Allgemeine Ideen, wie Sie können verwendet werden, für eine breitere Grenze nicht nur für eine bestimmte Sprache.

1. SQL-Benutzer (eingeschränkte Benutzerrechte): die meisten gängigen SQL-Operationen (SELECT, UPDATE, INSERT), dann, warum geben UPDATE-Berechtigung an einen Benutzer, die nicht erfordern? Zum Beispiel login-und suchen-Seiten sind nur zu verwenden, WÄHLEN Sie, dann, warum mit DB-Benutzer in diese Seiten mit hohen Privilegien?
   REGEL: erstellen Sie einen Datenbank-Benutzer für alle Berechtigungen für alle SQL-Operationen, erstellen Sie Ihr System wie (deluser, selectuser, updateuser) als Benutzernamen für die einfache Nutzung.

sehen Prinzip der geringsten Rechte

1. Daten-Filterung: vor dem erstellen einer Abfrage von Benutzereingaben validiert werden soll und gefiltert, für Programmierer, es ist wichtig zu definieren, einige Eigenschaften für jede user-Eingabe-Variablen:
   Daten, Typ, Daten, Muster und Daten Länge. ein Feld ist eine Zahl zwischen (x und y) muss genau überprüft über genaue Regel für ein Feld, das eine Zeichenfolge (text): Muster ist zum Beispiel der Fall, darf der Benutzername enthalten nur einige Zeichen können sagen, [a-zA-Z0-9_-.] die Länge variiert zwischen (x und n), wobei x und n (Integer, x <=n ).
   Regel: erstellen von genauen Filter-und Prüfregeln sind die beste übung für mich.

2. Andere tools verwenden: Hier werde ich auch mit Ihnen überein, dass vorbereitete Anweisung (Parametrierung) Abfragen und Gespeicherten Prozeduren, die Nachteile hier ist diese Art und Weise erfordern erweiterte Kompetenzen, die nicht vorhanden sind für die meisten Benutzer, die grundlegende Idee hier ist zu unterscheiden zwischen der SQL-Abfrage und die Daten in beide Ansätze können verwendet werden, auch mit unsicheren Daten, weil der Benutzer-Eingabe-Daten hier nichts hinzufügen, um die ursprüngliche Abfrage wie (bzw. x=x).
   Für mehr Informationen, Lesen Sie bitte OWASP SQL-Injection Prevention Cheat Sheet.

Nun, wenn Sie ein Fortgeschrittener Benutzer sind, starten Sie mit dieser Verteidigung, wie Sie möchten, aber, für Anfänger, wenn Sie nicht schnell zu implementieren, gespeicherte Prozedur vorbereitet und die Aussage, es ist besser, filter, input-Daten, so viel Sie können.

Endlich, wir betrachten, dass Benutzer sendet diesen text unten anstelle der Eingabe von Benutzername:

[1] UNION SELECT IF(SUBSTRING(Password,1,1)='2',BENCHMARK(100000,SHA1(1)),0) User,Password FROM mysql.user WHERE User = 'root'

Dieser Eingang kann frühzeitig überprüft werden, ohne prepared Statements und gespeicherte Prozeduren, aber um auf der sicheren Seite sein, mit Ihnen beginnt nach der Benutzer-Daten-Filterung und Validierung.

Letzter Punkt ist die Erkennung von unerwarteten Verhalten, das erfordert mehr Aufwand und Komplexität; es ist nicht empfohlen für normale web-Anwendungen.
Unerwartetes Verhalten in der oben Benutzer-Eingabe WÄHLEN, UNION, WENN die SUBSTRING -, BENCHMARK -, SHA -, Wurzel-sobald diese Worte erkannt werden, können Sie vermeiden, die Eingabe.

UPDATE1:

Ein user kommentierte, dass dieser Beitrag nutzlos ist, OK! Hier ist, was OWASP.ORG zur Verfügung gestellt:

Primäre Verteidigung:

Option #1: Verwendung von Prepared Statements (Parametrisierte Abfragen)

Möglichkeit #2: Verwendung von Gespeicherten Prozeduren

Option #3: Escaping all User Supplied Input

Zusätzliche Verteidigung:

Auch Durchzusetzen: Least Privilege

Auch Führen: Weiße Liste Validierung Von Eingaben

Wie Sie vielleicht wissen, fordern ein Artikel sollte unterstützt werden durch das gültige argument, mindestens eine Referenz! Ansonsten ist es als Angriff und schlechtes behaupten!

Update2:

Aus dem PHP-Handbuch, PHP: Prepared Statements - Handbuch:

Flucht-und SQL-injection

Gebundenen Variablen escaped werden automatisch durch den server. Die
server fügt Ihre entgangenen Werte an den entsprechenden stellen in den
Anweisung Vorlage vor der Ausführung. Ein Hinweis muss zur Verfügung gestellt werden, um die
server für die Art der gebundenen variable, um eine angemessene
die Konvertierung. Finden Sie die mysqli_stmt_bind_param () - Funktion für mehr
Informationen.

Das automatische escaping von Werten innerhalb der server ist manchmal
als ein Sicherheits-feature, um zu verhindern, dass SQL-injection. Das gleiche
Grad der Sicherheit kann erreicht werden mit nicht-prepared statements, wenn
input-Werte werden korrekt maskiert.

Update3:

Ich erstellte Testfälle, um zu wissen, wie PDO und MySQLi senden Sie die Abfrage an den MySQL-server bei der Verwendung von prepared statement:

PDO:

$user = "''1''"; //Malicious keyword
$sql = 'SELECT * FROM awa_user WHERE userame =:username';
$sth = $dbh->prepare($sql, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$sth->execute(array(':username' => $user));

Query Log:

    189 Query SELECT * FROM awa_user WHERE userame ='\'\'1\'\''
    189 Quit

MySQLi:

$stmt = $mysqli->prepare("SELECT * FROM awa_user WHERE username =?")) {
$stmt->bind_param("s", $user);
$user = "''1''";
$stmt->execute();

Query Log:

    188 Prepare   SELECT * FROM awa_user WHERE username =?
    188 Execute   SELECT * FROM awa_user WHERE username ='\'\'1\'\''
    188 Quit

Es ist klar, dass eine vorbereitete Anweisung ist auch die Flucht vor die Daten, sonst nichts.

Als auch in der oben aufgeführten Anweisung The automatic escaping of values within the server is sometimes considered a security feature to prevent SQL injection. The same degree of security can be achieved with non-prepared statements, if input values are escaped correctly daher, das beweist, dass die Validierung von Daten, wie intval() ist eine gute Idee für integer-Werte vor dem senden einer Abfrage, darüber hinaus wird verhindert, dass böswillige Benutzer Daten vor dem versenden der Abfrage ist richtige und gültige Ansatz.

Sehen Sie sich bitte die Frage genauer: PDO sendet roh-Abfrage zu MySQL während Mysqli schickt vorbereitete Abfrage, beide produzieren das gleiche Ergebnis

Referenzen:

1. SQL Injection Cheat Sheet
2. SQL-Injection
3. Information security
4. Sicherheits-Prinzipien
5. Daten-Validierung

InformationsquelleAutor

** Warnung: die hier beschriebenen Ansatz in diese Antwort gilt nur für sehr spezielle Szenarien und ist nicht sicher, da SQL-injection-Angriffe nicht nur Vertrauen in der Lage zu injizieren X=Y.**

Wenn die Angreifer versuchen, hacken Sie sich in das Formular über PHP $_GET oder variable mit der URL übergeben, würden Sie in der Lage sein, um Sie zu fangen, wenn Sie nicht sicher sind.

RewriteCond %{QUERY_STRING} ([0-9]+)=([0-9]+)
RewriteRule ^(.*) ^/track.php

Weil 1=1, 2=2, 1=2, 2=1, 1+1=2, usw... sind die häufigsten Fragen, die an eine SQL-Datenbank von einem Angreifer. Vielleicht ist das auch der es ist verwendet durch viele hacking-Anwendungen.

Aber Sie müssen vorsichtig sein, dass Sie nicht umgeschrieben werden, sichere Abfrage von Ihrer Website. Der obige code gibt dir einen Tipp, umschreiben oder umleiten (es hängt von Ihnen ab), die hacking-spezifische dynamische query-string in eine Seite, speichert der Angreifer Die IP-Adresse, oder SOGAR IHRE COOKIES, Verlauf, browser-oder anderer sensibler Informationen, so können Sie sich mit Ihnen später durch das Verbot von Ihrem Konto oder Kontaktaufnahme mit Behörden.

InformationsquelleAutor

Eine gute Idee ist die Verwendung einer 'Objekt-relationalen mapper wie Idiorm:

$user = ORM::for_table('user')
->where_equal('username', 'j4mie')
->find_one();

$user->first_name = 'Jamie';
$user->save();

$tweets = ORM::for_table('tweet')
    ->select('tweet.*')
    ->join('user', array(
        'user.id', '=', 'tweet.user_id'
    ))
    ->where_equal('user.username', 'j4mie')
    ->find_many();

foreach ($tweets as $tweet) {
    echo $tweet->text;
}

Es spart Ihnen nicht nur von SQL-Injektionen, aber vom syntax-Fehler auch! Unterstützt auch Sammlungen von Modellen mit der Methode Verkettung von filtern oder anwenden von Aktionen auf mehrere Ergebnisse auf einmal und mehrere verbindungen.

InformationsquelleAutor

Ich geschrieben habe, diese kleine Funktion vor einigen Jahren:

function sqlvprintf($query, $args)
{
    global $DB_LINK;
    $ctr = 0;
    ensureConnection(); //Connect to database if not connected already.
    $values = array();
    foreach ($args as $value)
    {
        if (is_string($value))
        {
            $value = "'" . mysqli_real_escape_string($DB_LINK, $value) . "'";
        }
        else if (is_null($value))
        {
            $value = 'NULL';
        }
        else if (!is_int($value) && !is_float($value))
        {
            die('Only numeric, string, array and NULL arguments allowed in a query. Argument '.($ctr+1).' is not a basic type, it\'s type is '. gettype($value). '.');
        }
        $values[] = $value;
        $ctr++;
    }
    $query = preg_replace_callback(
        '/{(\\d+)}/', 
        function($match) use ($values)
        {
            if (isset($values[$match[1]]))
            {
                return $values[$match[1]];
            }
            else
            {
                return $match[0];
            }
        },
        $query
    );
    return $query;
}

function runEscapedQuery($preparedQuery /*, ...*/)
{
    $params = array_slice(func_get_args(), 1);
    $results = runQuery(sqlvprintf($preparedQuery, $params)); //Run query and fetch results.   
    return $results;
}

Dieser ermöglicht das ausführen von Anweisungen in einem one-liner C#-ish String.Format wie:

runEscapedQuery("INSERT INTO Whatever (id, foo, bar) VALUES ({0}, {1}, {2})", $numericVar, $stringVar1, $stringVar2);

Tritt es in Anbetracht der Variablen-Typ. Wenn Sie versuchen, Sie zu parametrisieren-Tabelle, die Spaltennamen, es würde scheitern, als es bringt jede Zeichenfolge in Anführungszeichen, die ist eine ungültige syntax.

SICHERHEITS-UPDATE: Die bisherigen str_replace version erlaubt Injektionen durch hinzufügen {#} Token in der Benutzer-Daten. Diese preg_replace_callback version nicht zu Problemen führen, wenn der Ersatz enthält diese Token.

InformationsquelleAutor