首页 php教程 php手册 php sql注入与防注入经典案例分析

php sql注入与防注入经典案例分析

May 25, 2016 pm 04:40 PM
php php防注入 sql注入

对于sql注入与防注入其实就是一个攻与防的,今天我们要告诉大家最基本的注入和防止方法,原理都是利用了php或mysql的一些特性而我们没注意所造成的.

一个简单的SQL注入攻击案例

假如我们有一个公司网站,在网站的后台数据库中保存了所有的客户数据等重要信息,假如网站登录页面的代码中有这样一条命令来读取用户信息,代码如下:

<?php
$q = "SELECT `id` FROM `users` WHERE `username`= &#39; " . $_GET[&#39;username&#39;] . " &#39; AND `password`= &#39; " . $_GET[&#39;password&#39;] . " &#39; ";
?>
登录后复制

现在有一个黑客想攻击你的数据库,他会尝试在此登录页面的用户名的输入框中输入以下代码:;SHOW TABLES;点击登陆键,这个页面就会显示出数据库中的所有表,如果他现在使用下面这行命令:;DROP TABLE [table name];这样他就把一张表删除了.

当然,这只是一个很简单的例子,实际的SQL注入方法比这个要复杂得多,黑客也愿意花大量的时间来不断尝试来攻击你的代码,有一些程序软件也可以自动地来不断尝试SQL注入攻击,了解了SQL注入的攻击原理后,我们来看一下如何防范SQL注入攻击.

magic_quotes_gpc = On 时的注入攻击

当 magic_quotes_gpc = On 时,攻击者无法对字符型的字段进行 SQL 注入,这并不代表这就安全了,这时,可以通过数值型的字段进行SQL注入.

在最新版的 MYSQL 5.x 中,已经严格了数据类型的输入,已默认关闭自动类型转换。数值型的字段,不能是引号标记的字符型。也就是说,假设 uid 是数值型的,在以前的 mysql 版本中,这样的语句是合法的,代码如下:

INSERT INTO tbl_user SET uid="1";SELECT * FROM tbl_user WHERE uid="1";

在最新的 MYSQL 5.x 中,上面的语句不是合法的,必须写成这样,代码如下:

INSERT INTO tbl_user SET uid=1;SELECT * FROM tbl_user WHERE uid=1;

这样我认为是正确的,因为作为开发者,向数据库提交正确的符合规则的数据类型,这是最基本的要求.

那么攻击者在 magic_quotes_gpc = On 时,他们怎么攻击呢?很简单,就是对数值型的字段进行 SQL 注入,以下列的 php 脚本为例,代码如下:

<?php
if (isset($_POST["f_login"])) {
    // 连接数据库...
    // ...代码略...
    // 检查用户是否存在
    $t_strUid = $_POST["f_uid"];
    $t_strPwd = $_POST["f_pwd"];
    $t_strSQL = "SELECT * FROM tbl_users WHERE uid=$t_strUid AND password = &#39;$t_strPwd&#39; LIMIT 0,1";
    if ($t_hRes = mysql_query($t_strSQL)) {
        // 成功查询之后的处理. 略...
        
    }
}
?> 
<html><head><title>sample test</title></head> 
<body> 
<form method=post action=""> 
  User ID: <input type="text" name="f_uid" size=30><br> 
 
  Password: <input type=text name="f_pwd" size=30><br> 
  <input type="submit" name="f_login" value="登录"> 
</form> 
</body>
登录后复制

上面这段脚本要求用户输入 userid 和 password 登入,一个正常的语句,用户输入 1001和abc123,提交的 sql 语句如下:

SELECT * FROM tbl_users WHERE userid=1001 AND password = 'abc123' LIMIT 0,1

如果攻击者在 userid 处,输入:1001 OR 1 =1 #,则注入的sql语句如下:

SELECT * FROM tbl_users WHERE userid=1001 OR 1 =1 # AND password = 'abc123' LIMIT 0,1,攻击者达到了目的.

防范SQL注入 - 使用mysql_real_escape_string()函数,在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉,如引号等,如下例:

<?php
$q = "SELECT `id` FROM `users` WHERE `username`= &#39; " . mysql_real_escape_string($_GET[&#39;username&#39;]) . " &#39; AND `password`= &#39; " . mysql_real_escape_string($_GET[&#39;password&#39;]) . " &#39; ";
?>
登录后复制

防范SQL注入 - 使用mysql_query()函数

mysql_query()的特别是它将只执行SQL代码的第一条,而后面的并不会执行,回想在最前面的例子中,黑客通过代码来例后台执行了多条SQL命令,显示出了所有表的名称,所以mysql_query()函数可以取到进一步保护的作用,我们进一步演化刚才的代码就得到了下面的代码:

<?php
//connection
$database = mysql_connect("localhost", "username", "password");
//db selection
mysql_select_db("database", $database);
$q = mysql_query("SELECT `id` FROM `users` WHERE `username`= &#39; " . mysql_real_escape_string($_GET[&#39;username&#39;]) . " &#39; AND `password`= &#39; " . mysql_real_escape_string($_GET[&#39;password&#39;]) . " &#39; ", $database);
?>
登录后复制

除此之外,我们还可以在PHP代码中判断输入值的长度,或者专门用一个函数来检查输入的值,所以在接受用户输入值的地方一定要做好输入内容的过滤和检查,当然学习和了解最新的SQL注入方式也非常重要,这样才能做到有目的的防范,如果使用的是平台式的网站系统如Wordpress,要注意及时打上官方的补丁或升级到新的版本,如果有讲得不对的地方或不理解的请在评论区留言.

php.ini 中的 display_errors 选项,应该设为 display_errors = off,这样 php 脚本出错之后,不会在 web 页面输出错误,以免让攻击者分析出有作的信息.

调用 mysql_query 等 mysql 函数时,前面应该加上 @,即 @mysql_query(...),这样 mysql 错误不会被输出,同理以免让攻击者分析出有用的信息,另外,有些程序员在做开发时,当 mysql_query出错时,习惯输出错误以及 sql 语句,代码如下:

<?php
$t_strSQL = "SELECT a from b....";
if (mysql_query($t_strSQL)) {
    // 正确的处理
    
} else {
    echo "错误! SQL 语句:$t_strSQL \r\n错误信息" . mysql_query();
    exit;
}
?>
登录后复制

这种做法是相当危险和愚蠢的,如果一定要这么做,最好在网站的配置文件中,设一个全局变量或定义一个宏,设一下 debug 标志.

全局配置文件中,代码如下:

define("DEBUG_MODE",0); // 1: DEBUG MODE; 0: RELEASE MODE

调用脚本中,代码如下:

<?php
$t_strSQL = "SELECT a from b....";
if (mysql_query($t_strSQL)) {
    // 正确的处理
    
} else {
    if (DEBUG_MODE) echo "错误! SQL 语句:$t_strSQL \r\n错误信息" . mysql_query();
    exit;
}
?>
登录后复制


永久链接:

转载随意!带上文章地址吧。

本站声明
本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

热AI工具

Undresser.AI Undress

Undresser.AI Undress

人工智能驱动的应用程序,用于创建逼真的裸体照片

AI Clothes Remover

AI Clothes Remover

用于从照片中去除衣服的在线人工智能工具。

Undress AI Tool

Undress AI Tool

免费脱衣服图片

Clothoff.io

Clothoff.io

AI脱衣机

Video Face Swap

Video Face Swap

使用我们完全免费的人工智能换脸工具轻松在任何视频中换脸!

热工具

记事本++7.3.1

记事本++7.3.1

好用且免费的代码编辑器

SublimeText3汉化版

SublimeText3汉化版

中文版,非常好用

禅工作室 13.0.1

禅工作室 13.0.1

功能强大的PHP集成开发环境

Dreamweaver CS6

Dreamweaver CS6

视觉化网页开发工具

SublimeText3 Mac版

SublimeText3 Mac版

神级代码编辑软件(SublimeText3)

适用于 Ubuntu 和 Debian 的 PHP 8.4 安装和升级指南 适用于 Ubuntu 和 Debian 的 PHP 8.4 安装和升级指南 Dec 24, 2024 pm 04:42 PM

PHP 8.4 带来了多项新功能、安全性改进和性能改进,同时弃用和删除了大量功能。 本指南介绍了如何在 Ubuntu、Debian 或其衍生版本上安装 PHP 8.4 或升级到 PHP 8.4

我后悔之前不知道的 7 个 PHP 函数 我后悔之前不知道的 7 个 PHP 函数 Nov 13, 2024 am 09:42 AM

如果您是一位经验丰富的 PHP 开发人员,您可能会感觉您已经在那里并且已经完成了。您已经开发了大量的应用程序,调试了数百万行代码,并调整了一堆脚本来实现操作

如何设置 Visual Studio Code (VS Code) 进行 PHP 开发 如何设置 Visual Studio Code (VS Code) 进行 PHP 开发 Dec 20, 2024 am 11:31 AM

Visual Studio Code,也称为 VS Code,是一个免费的源代码编辑器 - 或集成开发环境 (IDE) - 可用于所有主要操作系统。 VS Code 拥有针对多种编程语言的大量扩展,可以轻松编写

在PHP API中说明JSON Web令牌(JWT)及其用例。 在PHP API中说明JSON Web令牌(JWT)及其用例。 Apr 05, 2025 am 12:04 AM

JWT是一种基于JSON的开放标准,用于在各方之间安全地传输信息,主要用于身份验证和信息交换。1.JWT由Header、Payload和Signature三部分组成。2.JWT的工作原理包括生成JWT、验证JWT和解析Payload三个步骤。3.在PHP中使用JWT进行身份验证时,可以生成和验证JWT,并在高级用法中包含用户角色和权限信息。4.常见错误包括签名验证失败、令牌过期和Payload过大,调试技巧包括使用调试工具和日志记录。5.性能优化和最佳实践包括使用合适的签名算法、合理设置有效期、

您如何在PHP中解析和处理HTML/XML? 您如何在PHP中解析和处理HTML/XML? Feb 07, 2025 am 11:57 AM

本教程演示了如何使用PHP有效地处理XML文档。 XML(可扩展的标记语言)是一种用于人类可读性和机器解析的多功能文本标记语言。它通常用于数据存储

php程序在字符串中计数元音 php程序在字符串中计数元音 Feb 07, 2025 pm 12:12 PM

字符串是由字符组成的序列,包括字母、数字和符号。本教程将学习如何使用不同的方法在PHP中计算给定字符串中元音的数量。英语中的元音是a、e、i、o、u,它们可以是大写或小写。 什么是元音? 元音是代表特定语音的字母字符。英语中共有五个元音,包括大写和小写: a, e, i, o, u 示例 1 输入:字符串 = "Tutorialspoint" 输出:6 解释 字符串 "Tutorialspoint" 中的元音是 u、o、i、a、o、i。总共有 6 个元

解释PHP中的晚期静态绑定(静态::)。 解释PHP中的晚期静态绑定(静态::)。 Apr 03, 2025 am 12:04 AM

静态绑定(static::)在PHP中实现晚期静态绑定(LSB),允许在静态上下文中引用调用类而非定义类。1)解析过程在运行时进行,2)在继承关系中向上查找调用类,3)可能带来性能开销。

什么是PHP魔术方法(__ -construct,__destruct,__call,__get,__ set等)并提供用例? 什么是PHP魔术方法(__ -construct,__destruct,__call,__get,__ set等)并提供用例? Apr 03, 2025 am 12:03 AM

PHP的魔法方法有哪些?PHP的魔法方法包括:1.\_\_construct,用于初始化对象;2.\_\_destruct,用于清理资源;3.\_\_call,处理不存在的方法调用;4.\_\_get,实现动态属性访问;5.\_\_set,实现动态属性设置。这些方法在特定情况下自动调用,提升代码的灵活性和效率。

See all articles