[MySQL][PHP] SQL Injection Opcje

[-MPC User-]

Jakiś user udostępnił skrypt na pewnym forum i część użytkowników twierdzi, że jest on podatny na SQLi.

Nie znam się na php, ale chciałbym wtłoczyć ten skrypt do pewnej strony, ale nie wiem czy jest on bezpieczny.

[PHP] pobierz, plaintext 
<?php
// by Smudzas-Design
 
$host = '';
$user = '';
$pass = '';
$cena = 62; // cena pierwszego pierscionka
$czas = 7; // dlugosc pierwszego pierscionka
 
mysql_connect($host, $user, $pass);
mysql_select_db('account');
 
echo '<meta http-equiv="content-type" content="text/html; charset=utf-8" />';
 
$zap = "SELECT `cash` FROM `account` WHERE `id`='".$_SESSION['id']."' LIMIT 1";
$tab = mysql_fetch_assoc(mysql_query($zap));
 
if($_GET['akcja'] == 'pd'){
	if($_GET['dni'] == $czas){
		if($tab['cash'] < $cena){
			echo 'Masz zbyt mało Smoczych Monet<br>';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena.", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	elseif($_GET['dni'] == $czas*2){
		if($tab['cash'] < $cena*2){
			echo 'Masz zbyt mało Smoczych Monet';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas *2;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena*2 .", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	elseif($_GET['dni'] == $czas*4){
		if($tab['cash'] < $cena*4){
			echo 'Masz zbyt mało Smoczych Monet';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas *4;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena*4 .", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	else{
		echo '<a href="index.php?akcja=pd&dni='.$czas.'"><h1 style="text-align:center;">'.$czas.' dni ('.$cena.' SM)</h1></a>';
		echo '<a href="index.php?akcja=pd&dni='.$czas*2 .'"><h1 style="text-align:center;">'.$czas*2 .' dni  ('.$cena*2 .' SM)</h1></a>';
		echo '<a href="index.php?akcja=pd&dni='.$czas*4 .'"><h1 style="text-align:center;">'.$czas*4 .' dni  ('.$cena*4 .' SM)</h1></a>';
	}
}
else{
	echo '<a href="index.php?akcja=pd"><h1 style="text-align:center;">Kup pierścień expa</h1></a>';
}
 
?>
[PHP] pobierz, plaintext 

[IProSoft]

Zwróć uwagę na to zapytanie:

[PHP] pobierz, plaintext 
$zap = "SELECT `cash` FROM `account` WHERE `id`='".$_SESSION['id']."' LIMIT 1";
[PHP] pobierz, plaintext 

A co jeśli potrafię spreparować $_SESSION['id'] ? Mogę wrzucić dowolny tekst, który nie zostanie wyczyszczony np mysql_escape_string

[greycoffey]

Zwróć uwagę na to zapytanie:

[PHP] pobierz, plaintext 
$zap = "SELECT `cash` FROM `account` WHERE `id`='".$_SESSION['id']."' LIMIT 1";
[PHP] pobierz, plaintext 

A co jeśli potrafię spreparować $_SESSION['id'] ? Mogę wrzucić dowolny tekst, który nie zostanie wyczyszczony np mysql_escape_string

Proszę Cię, nie pogrążaj się.
Czy ludzie naprawdę nie mają pojęcia jak działają sesje?
Spreparowanie danych to atak typu Session Poisoning - ale ten atak może wystąpić tylko wtedy, kiedy programista pisze idiotyczny kod jak:

[PHP] pobierz, plaintext 
$_SESSION[$_GET['key']]=$_GET['value'];
[PHP] pobierz, plaintext 

Co do skryptu (zakładam, że $cena może być zmieniona):

[SQL] pobierz, plaintext 
UPDATE `account` SET `cash`=`cash`-".$cena.", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'
[SQL] pobierz, plaintext 

Zagrożeniem jest cena, zobacz co się stanie gdy damy ujemną:

Kod

mysql> insert into abc values (5);
Query OK, 1 row affected (0.00 sec)

mysql> select * from abc;
+------+
| cena |
+------+
|    5 |
+------+
1 row in set (0.00 sec)

mysql> update abc set cena=cena--5;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

mysql> select * from abc;
+------+
| cena |
+------+
|   10 |
+------+
1 row in set (0.00 sec)

Jeśli $czas można zmienić też, pewnie efektem niepożądanym byłby fakt, że silver_expire jest zmienione na inną wartośc niż zakładana.

Opisz dokładniej które dane są zmienne.

[-MPC User-]

Proszę Cię, nie pogrążaj się.
Czy ludzie naprawdę nie mają pojęcia jak działają sesje?
Spreparowanie danych to atak typu Session Poisoning - ale ten atak może wystąpić tylko wtedy, kiedy programista pisze idiotyczny kod jak:

[PHP] pobierz, plaintext 
$_SESSION[$_GET['key']]=$_GET['value'];
[PHP] pobierz, plaintext 

Co do skryptu (zakładam, że $cena może być zmieniona):

[SQL] pobierz, plaintext 
UPDATE `account` SET `cash`=`cash`-".$cena.", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'
[SQL] pobierz, plaintext 

Zagrożeniem jest cena, zobacz co się stanie gdy damy ujemną:

Kod

mysql> insert into abc values (5);
Query OK, 1 row affected (0.00 sec)

mysql> select * from abc;
+------+
| cena |
+------+
|    5 |
+------+
1 row in set (0.00 sec)

mysql> update abc set cena=cena--5;
Query OK, 1 row affected (0.00 sec)
Rows matched: 1  Changed: 1  Warnings: 0

mysql> select * from abc;
+------+
| cena |
+------+
|   10 |
+------+
1 row in set (0.00 sec)

Jeśli $czas można zmienić też, pewnie efektem niepożądanym byłby fakt, że silver_expire jest zmienione na inną wartośc niż zakładana.

Opisz dokładniej które dane są zmienne.

Zadne dane nie są wprowadzane przez użytkownika i nie ma on do nich dostępu. Więc jak cena może być minusowa?

[Rysh]

Zadne dane nie są wprowadzane przez użytkownika i nie ma on do nich dostępu. Więc jak cena może być minusowa?

Ja podchodzę do takiego wniosku, że dane powinny być zabezpieczone "na wszelki wypadek" przed zmianami. Czasem nam się wydaje, że czegoś użytkownik i tka nie może zmodyfikować, a przychodzi taki delikwent i to robi (świadomie lub nie). Zabezpieczenie skryptów PHP to podstawa!