[mysql 튜토리얼] MySQL과 SQL 인젝션-MySQL 튜토리얼-php.cn

[mysql 튜토리얼] MySQL과 SQL 인젝션

黄舟

풀어 주다： 2016-12-26 17:24:13

원래의

1372명이 탐색했습니다.

MySQL과 SQL 인젝션

웹페이지를 통해 사용자가 입력한 데이터를 얻어 MySQL 데이터베이스에 삽입하는 경우 SQL 인젝션 보안 문제가 발생할 수 있습니다.

이 장에서는 SQL 삽입을 방지하는 방법과 스크립트를 사용하여 SQL에 삽입된 문자를 필터링하는 방법을 소개합니다.

소위 SQL 인젝션은 웹 양식 제출에 SQL 명령을 삽입하거나 페이지 요청에 대한 도메인 이름이나 쿼리 문자열을 입력하여 궁극적으로 서버를 속여 악성 SQL 명령을 실행하는 것입니다.

우리는 사용자가 입력한 데이터를 절대 신뢰해서는 안 됩니다. 우리 모두는 사용자가 입력한 데이터를 필터링해야 합니다.

다음 예에서 입력한 사용자 이름은 문자, 숫자, 밑줄의 조합이어야 하며 사용자 이름 길이는 8~20자여야 합니다.

if (preg_match("/^\w{8,20}$/", $_GET[&#39;username&#39;], $matches))
{
   $result = mysql_query("SELECT * FROM users 
                          WHERE username=$matches[0]");
}
 else 
{
   echo "username 输入异常";
}

로그인 후 복사

다음을 살펴보겠습니다. 살펴보기 특수문자가 필터링되지 않았을 때 발생하는 SQL 상황:

// 设定$name 中插入了我们不需要的SQL语句
$name = "Qadir&#39;; DELETE FROM users;";
mysql_query("SELECT * FROM users WHERE name=&#39;{$name}&#39;");

로그인 후 복사

위의 인젝션 문에서 $name 변수를 필터링하지 않고, 필요하지 않은 SQL 문을 삽입했습니다. $name에 사용자 테이블의 모든 데이터를 삭제합니다.

PHP의 Mysql_query()는 여러 SQL 문을 실행할 수 없지만, SQLite와 PostgreSQL에서는 여러 SQL 문을 동시에 실행할 수 있으므로 이러한 사용자의 데이터를 엄격하게 검증해야 합니다.

SQL 주입을 방지하려면 다음 사항에 주의해야 합니다.

1. 절대 사용자 입력을 신뢰하지 마세요. 사용자의 입력을 확인하려면 정규식을 사용하거나 작은따옴표와 큰따옴표 등을 변환하여 길이를 제한할 수 있습니다.

2. SQL의 동적 어셈블리를 사용하지 마세요. 매개변수화된 SQL을 사용하거나 데이터 쿼리 및 액세스에 직접 저장 프로시저를 사용할 수 있습니다.

3. 관리자 권한으로 데이터베이스 연결을 사용하지 마십시오. 각 애플리케이션에 대해 제한된 권한을 가진 별도의 데이터베이스 연결을 사용하십시오.

v 4. 기밀 정보를 직접 저장하지 말고, 비밀번호 및 민감한 정보를 암호화하거나 해시 처리하지 마십시오.

5. 애플리케이션의 예외 정보는 가능한 한 적은 수의 프롬프트를 제공해야 합니다.

6. 주입은 일반적으로 탐지에 사용되는 보조 소프트웨어 또는 웹사이트 플랫폼입니다. 소프트웨어는 일반적으로 SQL 주입 탐지 도구인 jsky를 사용하며 웹사이트 플랫폼에는 Yisi 웹사이트 보안 플랫폼 탐지 도구가 있습니다. MDCSOFT SCAN 등 MDCSOFT-IPS를 사용하면 SQL 주입, XSS 공격 등을 효과적으로 방어할 수 있습니다.

SQL 주입 방지

Perl 및 PHP와 같은 스크립트 언어에서는 사용자가 입력한 데이터를 이스케이프 처리하여 SQL 주입을 방지할 수 있습니다.

PHP의 MySQL 확장은 특수 입력 문자를 이스케이프하는 mysql_real_escape_string() 함수를 제공합니다.

if (get_magic_quotes_gpc()) 
{
  $name = stripslashes($name);
}
$name = mysql_real_escape_string($name);
mysql_query("SELECT * FROM users WHERE name=&#39;{$name}&#39;");

로그인 후 복사

Like 문에 삽입

like를 쿼리할 때 사용자가 입력한 값에 "_", "%"가 포함되어 있으면 이런 상황이 발생합니다. "abcd_"를 쿼리하고 싶었지만 쿼리 결과에 "abcd_", "abcde", "abcdf" 등이 있습니다. 사용자가 "30%"(참고: 30%)를 쿼리하려고 할 때도 문제가 발생합니다.

PHP 스크립트에서는 다음 예와 같이 addcslashes() 함수를 사용하여 위 상황을 처리할 수 있습니다.

$sub = addcslashes(mysql_real_escape_string("%something_"), "%_");
// $sub == \%something\_
mysql_query("SELECT * FROM messages WHERE subject LIKE &#39;{$sub}%&#39;")

로그인 후 복사

addcslashes() 함수는 지정된 문자열 앞에 백슬래시를 추가합니다. 성격.

구문 형식: