首页
所有分类
TAGS
文字工具 EMOJI BIBLE
编程 PHP

PHP+SQL 注入攻击的技术实现以及预防办法

Posted in PHP onJanuary 27, 2011

1. php 配置文件 php.ini 中的 magic_quotes_gpc 选项没有打开，被置为 off
2. 开发者没有对数据类型进行检查和转义

不过事实上，第二点最为重要。我认为, 对用户输入的数据类型进行检查，向 MYSQL 提交正确的数据类型，这应该是一个 web 程序员最最基本的素质。但现实中，常常有许多小白式的 Web 开发者忘了这点, 从而导致后门大开。

为什么说第二点最为重要？因为如果没有第二点的保证，magic_quotes_gpc 选项，不论为 on，还是为 off，都有可能引发 SQL 注入攻击。下面来看一下技术实现：
　一. magic_quotes_gpc = Off 时的注入攻击

magic_quotes_gpc = Off 是 php 中一种非常不安全的选项。新版本的 php 已经将默认的值改为了 On。但仍有相当多的服务器的选项为 off。毕竟，再古董的服务器也是有人用的。

当magic_quotes_gpc = On　时，它会将提交的变量中所有的 '(单引号)、"(双号号)、\(反斜线)、空白字符，都为在前面自动加上 \。下面是 php 的官方说明： 

magic_quotes_gpc boolean 
Sets the magic_quotes state for GPC (Get/Post/Cookie) operations. When magic_quotes are on, all ' (single-quote), " (double quote), \ (backslash) and NUL's are escaped with a backslash automatically

如果没有转义，即 off 情况下，就会让攻击者有机可乘。以下列测试脚本为例： 
<? 
if ( isset($_POST["f_login"] ) ) 
{ 
// 连接数据库... 
// ...代码略... // 检查用户是否存在 
$t_strUname = $_POST["f_uname"]; 
$t_strPwd = $_POST["f_pwd"]; 
$t_strSQL = "SELECT * FROM tbl_users WHERE username='$t_strUname' AND password = '$t_strPwd' LIMIT 0,1"; 
if ( $t_hRes = mysql_query($t_strSQL) ) 
{ 
// 成功查询之后的处理. 略... 
} 
} 
?> 
<html><head><title>sample test</title></head> 
<body> 
<form method=post action=""> 
Username: <input type="text" name="f_uname" size=30><br> 
Password: <input type=text name="f_pwd" size=30><br> 
<input type="submit" name="f_login" value="登录"> 
</form> 
</body>

在这个脚本中，当用户输入正常的用户名和密码，假设值分别为 zhang3、abc123，则提交的 SQL 语句如下： 
SELECT * FROM tbl_users 
WHERE username='zhang3' AND password = 'abc123' LIMIT 0,1

如果攻击者在 username 字段中输入：zhang3' OR 1=1 #，在 password 输入 abc123，则提交的 SQL 语句变成如下： 
SELECT * FROM tbl_users 
WHERE username='zhang3' OR 1=1 #' AND password = 'abc123' LIMIT 0,1

由于 # 是 mysql中的注释符, #之后的语句不被执行，实现上这行语句就成了： 
SELECT * FROM tbl_users 
WHERE username='zhang3' OR 1=1

这样攻击者就可以绕过认证了。如果攻击者知道数据库结构，那么它构建一个 UNION SELECT，那就更危险了：

假设在 username 中输入：zhang3 ' OR 1 =1 UNION select cola, colb,cold FROM tbl_b #

在password 输入: abc123，

则提交的 SQL 语句变成： 

SELECT * FROM tbl_users 
WHERE username='zhang3 ' 
OR 1 =1 UNION select cola, colb,cold FROM tbl_b #' AND password = 'abc123' LIMIT 0,1

这样就相当危险了。如果agic_quotes_gpc选项为 on，引号被转义，则上面攻击者构建的攻击语句就会变成这样，从而无法达到其目的： 
SELECT * FROM tbl_users 
WHERE username='zhang3\' OR 1=1 #' 
AND password = 'abc123' 
LIMIT 0,1 
SELECT * FROM tbl_users 
WHERE username='zhang3 \' OR 1 =1 UNION select cola, colb,cold FROM tbl_b #' 
AND password = 'abc123' LIMIT 0,1

二. magic_quotes_gpc = On 时的注入攻击

当 magic_quotes_gpc = On 时，攻击者无法对字符型的字段进行 SQL 注入。这并不代表这就安全了。这时，可以通过数值型的字段进行SQL注入。

在最新版的 MYSQL 5.x 中，已经严格了数据类型的输入，已默认关闭自动类型转换。数值型的字段，不能是引号标记的字符型。也就是说，假设 uid 是数值型的，在以前的 mysql 版本中，这样的语句是合法的： 

INSERT INTO tbl_user SET uid="1"; 
SELECT * FROM tbl_user WHERE uid="1";

在最新的 MYSQL 5.x 中，上面的语句不是合法的，必须写成这样： 
INSERT INTO tbl_user SET uid=1; 
SELECT * FROM tbl_user WHERE uid=1;

这样我认为是正确的。因为作为开发者，向数据库提交正确的符合规则的数据类型，这是最基本的要求。

那么攻击者在 magic_quotes_gpc = On 时，他们怎么攻击呢？很简单，就是对数值型的字段进行 SQL 注入。以下列的 php 脚本为例： 

<? 
if ( isset($_POST["f_login"] ) ) 
{ 
// 连接数据库... 
// ...代码略... 
// 检查用户是否存在 
$t_strUid = $_POST["f_uid"]; 
$t_strPwd = $_POST["f_pwd"]; 
$t_strSQL = "SELECT * FROM tbl_users WHERE uid=$t_strUid AND password = '$t_strPwd' LIMIT 0,1"; 
if ( $t_hRes = mysql_query($t_strSQL) ) 
{ 
// 成功查询之后的处理. 略... 
} 
} 
?> 
<html><head><title>sample test</title></head> 
<body> 
<form method=post action=""> 
User ID: <input type="text" name="f_uid" size=30><br> 
Password: <input type=text name="f_pwd" size=30><br> 
<input type="submit" name="f_login" value="登录"> 
</form> 
</body>

上面这段脚本要求用户输入 userid 和 password 登入。一个正常的语句，用户输入 1001和abc123，提交的 sql 语句如下：
SELECT * FROM tbl_users WHERE userid=1001 AND password = 'abc123' LIMIT 0,1

如果攻击者在 userid 处，输入：1001 OR 1 =1 #，则注入的sql语句如下：
SELECT * FROM tbl_users WHERE userid=1001 OR 1 =1 # AND password = 'abc123' LIMIT 0,1

攻击者达到了目的。
　三. 如何防止 PHP SQL 注入攻击

如何防止 php sql 注入攻击？我认为最重要的一点，就是要对数据类型进行检查和转义。总结的几点规则如下：
php.ini 中的 display_errors 选项，应该设为　display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。
调用 mysql_query 等 mysql 函数时，前面应该加上 @，即 @mysql_query(...)，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。另外，有些程序员在做开发时，当 mysql_query出错时，习惯输出错误以及 sql 语句，例如： 

$t_strSQL = "SELECT a from b...."; 
if ( mysql_query($t_strSQL) ) 
{ 
// 正确的处理 
} 
else 
{ 
echo "错误! SQL 语句：$t_strSQL \r\n错误信息".mysql_query(); 
exit; 
}

这种做法是相当危险和愚蠢的。如果一定要这么做，最好在网站的配置文件中，设一个全局变量或定义一个宏，设一下 debug 标志： 
全局配置文件中： 
define("DEBUG_MODE",0); // 1: DEBUG MODE; 0: RELEASE MODE 
//调用脚本中： 
$t_strSQL = "SELECT a from b...."; 
if ( mysql_query($t_strSQL) ) 
{ 
// 正确的处理 
} 
else 
{ 
if (DEBUG_MODE) 
echo "错误! SQL 语句：$t_strSQL \r\n错误信息".mysql_query(); 
exit; 
}

对提交的 sql 语句，进行转义和类型检查。
　四. 我写的一个安全参数获取函数

为了防止用户的错误数据和 php + mysql 注入 ，我写了一个函数 PAPI_GetSafeParam()，用来获取安全的参数值： 

define("XH_PARAM_INT",0); 
define("XH_PARAM_TXT",1); 
function PAPI_GetSafeParam($pi_strName, $pi_Def = "", $pi_iType = XH_PARAM_TXT) 
{ 
if ( isset($_GET[$pi_strName]) ) 
$t_Val = trim($_GET[$pi_strName]); 
else if ( isset($_POST[$pi_strName])) 
$t_Val = trim($_POST[$pi_strName]); 
else 
return $pi_Def; 
// INT 
if ( XH_PARAM_INT == $pi_iType) 
{ 
if (is_numeric($t_Val)) 
return $t_Val; 
else 
return $pi_Def; 
} 
// String 
$t_Val = str_replace("&", "&",$t_Val); 
$t_Val = str_replace("<", "<",$t_Val); 
$t_Val = str_replace(">", ">",$t_Val); 
if ( get_magic_quotes_gpc() ) 
{ 
$t_Val = str_replace("\\\"", """,$t_Val); 
$t_Val = str_replace("\\''", "'",$t_Val); 
} 
else 
{ 
$t_Val = str_replace("\"", """,$t_Val); 
$t_Val = str_replace("'", "'",$t_Val); 
} 
return $t_Val; 
}

在这个函数中，有三个参数： 
$pi_strName: 变量名 
$pi_Def: 默认值 
$pi_iType: 数据类型。取值为 XH_PARAM_INT, XH_PARAM_TXT, 分别表示数值型和文本型。

如果请求是数值型，那么调用 is_numeric() 判断是否为数值。如果不是，则返回程序指定的默认值。

简单起见，对于文本串，我将用户输入的所有危险字符（包括HTML代码），全部转义。由于 php 函数 addslashes()存在漏洞，我用 str_replace()直接替换。get_magic_quotes_gpc() 函数是 php 的函数，用来判断 magic_quotes_gpc 选项是否打开。

刚才第二节的示例，代码可以这样调用： 

<? 
if ( isset($_POST["f_login"] ) ) 
{ 
// 连接数据库... 
// ...代码略... 
// 检查用户是否存在 
$t_strUid = PAPI_GetSafeParam("f_uid", 0, XH_PARAM_INT); 
$t_strPwd = PAPI_GetSafeParam("f_pwd", "", XH_PARAM_TXT); 
$t_strSQL = "SELECT * FROM tbl_users WHERE uid=$t_strUid AND password = '$t_strPwd' LIMIT 0,1"; 
if ( $t_hRes = mysql_query($t_strSQL) ) 
{ 
// 成功查询之后的处理. 略... 
} 
} 
?>

这样的话，就已经相当安全了。PAPI_GetSafeParam的代码有点长，但牺牲这点效率，对保证安全，是值得的。希望大家多批评指正。：）

PHP+SQL 注入攻击的技术实现以及预防办法

声明：登载此文出于传递更多信息之目的，并不意味着赞同其观点或证实其描述。

PHP 相关文章推荐
PHP中文汉字验证码
Apr 08 PHP
php 格式化数字的时候注意数字的范围
Apr 13 PHP
php学习笔记之 函数声明
Jun 09 PHP
php根据身份证号码计算年龄的实例代码
Jan 18 PHP
PHP计算一年多少个星期和每周的开始和结束日期
Jul 01 PHP
php实现图片转换成ASCII码的方法
Apr 03 PHP
php使用ffmpeg向视频中添加文字字幕的实现方法
May 23 PHP
Laravel日志用法详解
Oct 09 PHP
php preg_match的匹配不同国家语言实例
Dec 29 PHP
基于php(Thinkphp)+jquery 实现ajax多选反选不选删除数据功能
Feb 24 PHP
YII2框架中使用yii.js实现的post请求
Apr 09 PHP
Laravel利用gulp如何构建前端资源详解
Jun 03 PHP
php5 apache 2.2 webservice 创建与配置(java)
Jan 27 #PHP
使用XDebug调试及单元测试覆盖率分析
Jan 27 #PHP
仿AS3实现PHP 事件机制实现代码
Jan 27 #PHP
PHP 命名空间实例说明
Jan 27 #PHP
PHP中利用substr_replace将指定两位置之间的字符替换为*号
Jan 27 #PHP
PHP Session_Regenerate_ID函数双释放内存破坏漏洞
Jan 27 #PHP
PHP中通过加号合并数组的一个简单方法分享
Jan 27 #PHP
磁盘分区(1) FTP服务器(1) IIS7(1) 界面设计(1) GZIP(2) DBLink(1) .NET Framework(2) 对撞机(1) DNS服务器(2) 粒子对撞机(1)
You might like
re0第二季蕾姆被制作组打入冷宫！艾米莉亚女主扶正，原因唏嘘
2020/04/02 日漫
php 404错误页面实现代码
2009/06/22 PHP
完美解决PHP中文乱码
2009/11/26 PHP
Yii数据库缓存实例分析
2016/03/29 PHP
PHP正则表达式匹配替换与分割功能实例浅析
2017/02/04 PHP
Laravel框架路由管理简单示例
2019/05/07 PHP
jQuery live( type, fn ) 委派事件实现
2009/10/11 Javascript
js图片向右一张张滚动效果实例代码
2013/11/23 Javascript
Jquery节点遍历next与nextAll方法使用示例
2014/07/22 Javascript
使用JQ来编写最基本的淡入淡出效果附演示动画
2014/10/31 Javascript
Jquery网页内滑动缓冲导航的实现代码
2015/04/05 Javascript
javascript实现给定半径求出圆的面积
2015/06/26 Javascript
用NodeJS实现批量查询地理位置的经纬度接口
2016/08/16 NodeJs
本地Bootstrap文件字体图标引入却无法显示问题的解决方法
2020/04/18 Javascript
解决Extjs下拉框不显示的问题
2017/06/21 Javascript
深入理解vue.js中的v-if和v-show
2017/06/22 Javascript
Vue内容分发slot(全面解析)
2017/08/19 Javascript
浅谈Vue render函数在ElementUi中的应用
2018/09/06 Javascript
Vue中使用create-keyframe-animation与动画钩子完成复杂动画
2019/04/09 Javascript
在Vue环境下利用worker运行interval计时器的步骤
2019/08/01 Javascript
vue设置全局访问接口API地址操作
2020/08/14 Javascript
[04:45]上海特级锦标赛主赛事第三日TOP10
2016/03/05 DOTA
python 获取文件列表（或是目录例表）
2009/03/25 Python
Python and、or以及and-or语法总结
2015/04/14 Python
用Python编写一个每天都在系统下新建一个文件夹的脚本
2015/05/04 Python
pycharm新建一个python工程步骤
2019/07/16 Python
树莓派使用python-librtmp实现rtmp推流h264的方法
2019/07/22 Python
解决TensorFlow程序无限制占用GPU的方法
2020/06/30 Python
Chantelle仙黛尔内衣美国官网：法国第一品牌内衣
2018/07/26 全球购物
电子狗项圈：eDog Australia
2019/12/04 全球购物
办理生育手续介绍信
2014/01/14 职场文书
火车来了教学反思
2014/02/11 职场文书
酒店仓管员岗位职责
2014/04/28 职场文书
离婚协议书范本2014
2014/10/27 职场文书
关于Vue Router的10条高级技巧总结
2021/05/06 Vue.js
一起来看看Vue的核心原理剖析
2022/03/24 Vue.js