Предотвращение SQL-инъекций с помощью PHP и Zend Framework - как?
Я пытаюсь защитить форму входа на своей странице от SQL-инъекций. На стороне сервера я использую Zend Framework (Zend_Db
,Zend_Db_Table_Abstract
), но его встроенные функции предотвращения инъекций: quote
, quoteInto
, quoteIdentifier
не делайте их работу хорошо (насколько я знаю, как ими пользоваться). Другие способы, такие как mysql_real_escape_string
, addslashes
кажется, совсем не работает...
Это то, что я пытаюсь реализовать для защиты:
function prevent_from_sql_injection($str) {
if(preg_match('/[\'"]/', $str))
{die('attack1'); exit; }// no quotes
elseif(preg_match('/[\/\\\\]/', $str))
{die('attack2'); exit; }// no slashes
elseif(preg_match('/(and|or|null|not)/i', $str))
{die('attack3'); exit; }// no sqli boolean keywords
elseif(preg_match('/(union|select|from|where)/i', $str))
{die('attack4'); exit; }// no sqli select keywords
elseif(preg_match('/(group|order|having|limit)/i', $str))
{die('attack5'); exit; }// no sqli select keywords
elseif(preg_match('/(into|file|case|LOAD_FILE|DUMPFILE|char|schema|AES_DECRYPT|AES_ENCRYPT)/i', $str))
{die('attack6'); exit; }// no sqli operators
elseif(preg_match('/(--|#|\/\*)/', $str))
{die('attack7'); exit; }// no sqli comments
elseif(preg_match('/(=|&|\|)/', $str))
{die('attack8'); exit; }// no boolean operators
elseif(preg_match('/(UNI\*\*ON|1 OR 1=1|1 AND 1=1|1 EXEC XP_)/', $str))
{die('attack9'); exit; }
elseif(preg_match('/(1|'| |O|R|=|1' OR '1'='1|%31%27%20%4F%52%20%27%31%27%3D%27%31)/', $str))
{ die('attack10'); exit; }
elseif(preg_match('/(SELECT\s[\w\*\)\(\,\s]+\sFROM\s[\w]+)| (UPDATE\s[\w]+\sSET\s[\w\,\'\=]+)| (INSERT\sINTO\s[\d\w]+[\s\w\d\)\(\,]*\sVALUES\s\([\d\w\'\,\)]+)| (DELETE\sFROM\s[\d\w\'\=]+)/', $str))
{ die('attack11'); exit; }
elseif(preg_match('/(script)|(<)|(>)|(%3c)|(%3e)|(SELECT) |(UPDATE) |(INSERT) |(DELETE)|(GRANT) |(REVOKE)|(UNION)|(&lt;)|(&gt;)/', $str))
{ die('attack12'); exit; }
elseif(!preg_match('/^["a-zA-Z0-9\040]+$/', $str))
{ die('attack13'); exit; }
else return $str;
}
Что касается проверки моих результатов, я использую расширение Firefox SQL Вводит меня и это показывает еще 14 ошибок (иногда 21 или 17, и я не знаю, почему результаты разные):
Server Status Code: 302 Found
Tested value: 1' OR '1'='1
Server Status Code: 302 Found
Tested value: 1 UNI/**/ON SELECT ALL FROM WHERE
Server Status Code: 302 Found
Tested value: 1' OR '1'='1
Server Status Code: 302 Found
Tested value: 1 OR 1=1
Server Status Code: 302 Found
Tested value: 1' OR '1'='1
Server Status Code: 302 Found
Tested value: 1 EXEC XP_
Server Status Code: 302 Found
Tested value: 1 UNION ALL SELECT 1,2,3,4,5,6,name FROM sysObjects WHERE xtype = 'U' --
Server Status Code: 302 Found
Tested value: %31%27%20%4F%52%20%27%31%27%3D%27%31
Server Status Code: 302 Found
Tested value: 1 AND 1=1
Server Status Code: 302 Found
Tested value: 1' OR '1'='1
Server Status Code: 302 Found
Tested value: 1 AND ASCII(LOWER(SUBSTRING((SELECT TOP 1 name FROM sysobjects WHERE xtype='U'), 1, 1))) > 116
Итак, каков наилучший способ предотвратить все эти атаки с использованием SQL-инъекций? Использование заполнителей хорошо, но в некоторых случаях это не подходит. Может быть, это расширение неверно, и у меня паранойя?
3 answers
Я настоятельно рекомендую использовать Zend_Db. Он использует подготовленные операторы.
Параметры подготовленных инструкций не нужно указывать в кавычках; драйвер автоматически обрабатывает это.
Если приложение использует исключительно подготовленные инструкции, разработчик может быть уверен, что внедрение SQL не произойдет (однако, если другие части запроса создаются с неэкранированным вводом, внедрение SQL все еще возможно
$db = Zend_Db::factory('Pdo_Mysql', array(
'host' => '127.0.0.1',
'username' => 'webuser',
'password' => 'xxxxxxxx',
'dbname' => 'test'
));
$stmt = $db->query('SELECT * FROM bugs WHERE reported_by = ? AND bug_status = ?',
array('goofy', 'FIXED')
);
$rows = $stmt->fetchAll();
echo $rows[0]['bug_description'];
Используйте подготовленные инструкции SQL вместо экранирования значений.
$st = $pdo->prepare("SELECT * FROM tbl WHERE x = ?");
$st->execute($x);
Внесение в черный список нескольких операторов SQL не является разумным подходом. Это расширение Firefox вводит в заблуждение и создает у вас неверное впечатление.
Очевидно, что вам не следует начинать принимать случайные команды SQL в качестве входных данных. В лучшем случае вы используете некоторые переменные запроса в качестве данных запроса. И подготовленных заявлений достаточно для обеспечения безопасности в этом случае. Объединение команд и переменных SQL - устаревшая практика (что, по-видимому, предполагает это сомнительное расширение Firefox.).
Поместите этот код на свою страницу заголовка.
function clean_header($string)
{
$string = trim($string);
// From RFC 822: “The field-body may be composed of any ASCII
// characters, except CR or LF.”
if (strpos($string, “\n“) !== false) {
$string = substr($string, 0, strpos($string, “\n“));
}
if (strpos($string, “\r“) !== false) {
$string = substr($string, 0, strpos($string, “\r“));
}
return $string;
}