Forum PHP.pl

SQL Injection (zwane też "SQL Insertion") to (rzekomo) najprostszy sposób włamu na stronę. Spowodowany jest on niepełnym sformułowaniem zapytań do MySQL.

Przykład. Dajemy na stronie możliwość edycji profilu. Zapytanie do SQL wygląda następująco:

[PHP] pobierz, plaintext 
<?php
$query = "update uzytkownicy set pole='$dane' where id='$id'";
?>
[PHP] pobierz, plaintext 

Osoba włamująca się na stronę umieszcza całkiem prosty, odpowiedni ciąg znaków/poleceń w dowolnym polu edycji tego profilu, który wygląda np. tak (dla zmiany hasła użytkownika o dowolnie wybranym, przez atakującego numerze ID):

[PHP] pobierz, plaintext 
<?php
', haslo='nowe_haslo' WHERE id = '1
?>
[PHP] pobierz, plaintext 

W taki oto prosty sposób, osoba atakująca zmieniła hasło użytkownikowi o ID=1 (zazwyczaj administrator). W podobny sposób można również wyciągnąć dowolne dane z tabeli SQL.

W każdym razie. Poszperałem, pomyślałem i zebrałem wszystko do kupy. Zamieszczam to tutaj razem, oraz proszę o rozbudowanie tego topica, gdyż nie znalazłem na tym forum więcej informacji o "SQL Injection".

Oto co możemy dokonać:
1. Możemy sformułować nasze zapytanie do SQL tak:

[PHP] pobierz, plaintext 
<?php
$query = 'update `uzytkownicy` set `pole`="'.$dane.'" where `id`="'.$id.'";';
?>
[PHP] pobierz, plaintext 

2. Numer ID warto ustawiać w sposób $_GET['id'], lub $_POST['id'], można też ustawić go w nast. sposób:

[PHP] pobierz, plaintext 
<?php
$id = (int)$_GET['id'];
?>
[PHP] pobierz, plaintext 

Może nie ma tego dużo, ale jest to już jakaś podstawa do zabezpieczenia strony/skryptu przed prostym i niezwykle niebezpiecznym, SQL Injection. Proszę osoby obeznane w tym temacie, aby dopisały tu własne propozycje metod zabezpieczenia się przed tym atakiem.

[PHP] pobierz, plaintext 
<?php
function SecureQuery($q, $type)
{
switch($type)
{
case 'string':
if(!preg_match('[a-z0-9]', $q)) $ret = false;
else $ret = true;
break;
 
case 'int':
if(!is_numeric($q)) $ret = false;
else $ret = true;
break;
}
return $ret;
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$nazwa_uzytkownika = $_GET['username'];
 
if(SecureQuery($nazwa_uzytkownika, 'string'))
mysql_query('SELECT * FROM `db_name` WHERE `user_name` = "'.$nazwa_uzytkownika.'"');
else die('error');
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$ilosc = $_GET['ilosc'];
 
if(SecureQuery($ilosc, 'int'))
mysql_query('SELECT * FROM `db_name` WHERE `ilosc` = "'.$ilosc.'"');
else die('error');
?>
[PHP] pobierz, plaintext 

nie lepiej skorzystać z ctype?

A tak poza tym to przecież MySQL odpowiednio koduje hasła:

[SQL] pobierz, plaintext 
UPDATE `users` SET `haslo`=(PASSWORD('$pass')) WHERE `id`='$id'
[SQL] pobierz, plaintext 

więć teoretycznie w czym problem?...

[SQL] pobierz, plaintext 
UPDATE `users` SET `haslo`=(PASSWORD('jakies_haslo')), `is_admin`=1 WHERE `id` = 123 -- ')) WHERE `id` = ''
[SQL] pobierz, plaintext 

Owszem dodaje, ale chyba tylko, gdy na serwerze jest włączone <span style="font-weight: bold;">magic_quotes_gpc</span> ?
A jeśli nie to jakim prawem kolega mi się włamał?

[PHP] pobierz, plaintext 
<?php
function stripMagicQuotes($var){
	if(get_magic_quotes_gpc()){
		return stripslashes($var);
	}else{
		return $var;
	}
}
?>
[PHP] pobierz, plaintext 

Znalazłem taką funkcję odnośnie tego problemu.

[PHP] pobierz, plaintext 
<?php
function stripMagicQuotes($var){
	if(get_magic_quotes_gpc()){
		return stripslashes($var);
	}else{
		return $var;
	}
}
?>
[PHP] pobierz, plaintext 

Przydatne porady

To ze zrodel PHP-Fusion?