PHP與SQL注入攻擊防范小技巧
更新時間：2011年09月16日 17:08:41 作者：
SQL注入攻擊是黑客攻擊網(wǎng)站最常用的手段。如果你的站點沒有使用嚴格的用戶輸入檢驗，那么常容易遭到SQL注入攻擊。SQL注入攻擊通常通過給站點數(shù)據(jù)庫提交不良的數(shù)據(jù)或查詢語句來實現(xiàn)，很可能使數(shù)據(jù)庫中的紀錄遭到暴露，更改或被刪除。
下面來談談SQL注入攻擊是如何實現(xiàn)的，又如何防范。
看這個例子：
// supposed input
$name = "ilia'; DELETE FROM users;";
mysql_query("SELECT * FROM users WHERE name='{$name}'");
很明顯最后數(shù)據(jù)庫執(zhí)行的命令是：
SELECT * FROM users WHERE name=ilia; DELETE FROM users
這就給數(shù)據(jù)庫帶來了災難性的后果–所有記錄都被刪除了。
不過如果你使用的數(shù)據(jù)庫是MySQL，那么還好，mysql_query()函數(shù)不允許直接執(zhí)行這樣的操作（不能單行進行多個語句操作），所以你可以放心。如果你使用的數(shù)據(jù)庫是SQLite或者PostgreSQL，支持這樣的語句，那么就將面臨滅頂之災了。
上面提到，SQL注入主要是提交不安全的數(shù)據(jù)給數(shù)據(jù)庫來達到攻擊目的。為了防止SQL注入攻擊，PHP自帶一個功能可以對輸入的字符串進行處理，可以在較底層對輸入進行安全上的初步處理，也即Magic Quotes。(php.ini magic_quotes_gpc)。如果magic_quotes_gpc選項啟用，那么輸入的字符串中的單引號，雙引號和其它一些字符前將會被自動加上反斜杠\。
但Magic Quotes并不是一個很通用的解決方案，沒能屏蔽所有有潛在危險的字符，并且在許多服務器上Magic Quotes并沒有被啟用。所以，我們還需要使用其它多種方法來防止SQL注入。
許多數(shù)據(jù)庫本身就提供這種輸入數(shù)據(jù)處理功能。例如PHP的MySQL操作函數(shù)中有一個叫mysql_real_escape_string()的函數(shù)，可將特殊字符和可能引起數(shù)據(jù)庫操作出錯的字符轉義。
看這段代碼：
//如果Magic Quotes功用啟用
if (get_magic_quotes_gpc()) {
$name = stripslashes($name);
}else{
$name = mysql_real_escape_string($name);
}
mysql_query("SELECT * FROM users WHERE name='{$name}'");
注意，在我們使用數(shù)據(jù)庫所帶的功能之前要判斷一下Magic Quotes是否打開，就像上例中那樣，否則兩次重復處理就會出錯。如果MQ已啟用，我們要把加上的\去掉才得到真實數(shù)據(jù)。
除了對以上字符串形式的數(shù)據(jù)進行預處理之外，儲存Binary數(shù)據(jù)到數(shù)據(jù)庫中時，也要注意進行預處理。否則數(shù)據(jù)可能與數(shù)據(jù)庫自身的存儲格式相沖突，引起數(shù)據(jù)庫崩潰，數(shù)據(jù)記錄丟失，甚至丟失整個庫的數(shù)據(jù)。有些數(shù)據(jù)庫如 PostgreSQL，提供一個專門用來編碼二進制數(shù)據(jù)的函數(shù)pg_escape_bytea()，它可以對數(shù)據(jù)進行類似于Base64那樣的編碼。
如：
// for plain-text data use:
pg_escape_string($regular_strings);
// for binary data use:
pg_escape_bytea($binary_data);
另一種情況下，我們也要采用這樣的機制。那就是數(shù)據(jù)庫系統(tǒng)本身不支持的多字節(jié)語言如中文，日語等。其中有些的ASCII范圍和二進制數(shù)據(jù)的范圍重疊。
不過對數(shù)據(jù)進行編碼將有可能導致像LIKE abc% 這樣的查詢語句失效。
看這個例子：
復制代碼 代碼如下:
// supposed input
$name = "ilia'; DELETE FROM users;";
mysql_query("SELECT * FROM users WHERE name='{$name}'");
很明顯最后數(shù)據(jù)庫執(zhí)行的命令是：
SELECT * FROM users WHERE name=ilia; DELETE FROM users
這就給數(shù)據(jù)庫帶來了災難性的后果–所有記錄都被刪除了。
不過如果你使用的數(shù)據(jù)庫是MySQL，那么還好，mysql_query()函數(shù)不允許直接執(zhí)行這樣的操作（不能單行進行多個語句操作），所以你可以放心。如果你使用的數(shù)據(jù)庫是SQLite或者PostgreSQL，支持這樣的語句，那么就將面臨滅頂之災了。
上面提到，SQL注入主要是提交不安全的數(shù)據(jù)給數(shù)據(jù)庫來達到攻擊目的。為了防止SQL注入攻擊，PHP自帶一個功能可以對輸入的字符串進行處理，可以在較底層對輸入進行安全上的初步處理，也即Magic Quotes。(php.ini magic_quotes_gpc)。如果magic_quotes_gpc選項啟用，那么輸入的字符串中的單引號，雙引號和其它一些字符前將會被自動加上反斜杠\。
但Magic Quotes并不是一個很通用的解決方案，沒能屏蔽所有有潛在危險的字符，并且在許多服務器上Magic Quotes并沒有被啟用。所以，我們還需要使用其它多種方法來防止SQL注入。
許多數(shù)據(jù)庫本身就提供這種輸入數(shù)據(jù)處理功能。例如PHP的MySQL操作函數(shù)中有一個叫mysql_real_escape_string()的函數(shù)，可將特殊字符和可能引起數(shù)據(jù)庫操作出錯的字符轉義。
看這段代碼：
復制代碼 代碼如下:
//如果Magic Quotes功用啟用
if (get_magic_quotes_gpc()) {
$name = stripslashes($name);
}else{
$name = mysql_real_escape_string($name);
}
mysql_query("SELECT * FROM users WHERE name='{$name}'");
注意，在我們使用數(shù)據(jù)庫所帶的功能之前要判斷一下Magic Quotes是否打開，就像上例中那樣，否則兩次重復處理就會出錯。如果MQ已啟用，我們要把加上的\去掉才得到真實數(shù)據(jù)。
除了對以上字符串形式的數(shù)據(jù)進行預處理之外，儲存Binary數(shù)據(jù)到數(shù)據(jù)庫中時，也要注意進行預處理。否則數(shù)據(jù)可能與數(shù)據(jù)庫自身的存儲格式相沖突，引起數(shù)據(jù)庫崩潰，數(shù)據(jù)記錄丟失，甚至丟失整個庫的數(shù)據(jù)。有些數(shù)據(jù)庫如 PostgreSQL，提供一個專門用來編碼二進制數(shù)據(jù)的函數(shù)pg_escape_bytea()，它可以對數(shù)據(jù)進行類似于Base64那樣的編碼。
如：
復制代碼 代碼如下:
// for plain-text data use:
pg_escape_string($regular_strings);
// for binary data use:
pg_escape_bytea($binary_data);
另一種情況下，我們也要采用這樣的機制。那就是數(shù)據(jù)庫系統(tǒng)本身不支持的多字節(jié)語言如中文，日語等。其中有些的ASCII范圍和二進制數(shù)據(jù)的范圍重疊。
不過對數(shù)據(jù)進行編碼將有可能導致像LIKE abc% 這樣的查詢語句失效。
相關文章
以下是對PHP生成驗證碼時“圖像因其本身有錯無法顯示”的解決方法進行了詳細的分析介紹，需要的朋友可以過來參考下2013-08-08
這篇文章主要介紹了詳解PHP中的外觀模式facade pattern的詳細用法以及代碼實例，對此有需求的朋友參考下吧。2018-02-02
這篇文章主要介紹了phpstrom使用xdebug的配置方法，大家參考使用吧2013-12-12
php常用字符串查找函數(shù)strstr()與strpos()實例分析
這篇文章主要介紹了php常用字符串查找函數(shù)strstr()與strpos(),結合具體實例形式分析了php字符串查找函數(shù)strstr()與strpos()的具體功能、用法、區(qū)別及相關操作注意事項,需要的朋友可以參考下2019-06-06
首先，我們來討論包含文件漏洞,首先要問的是,什么才是"遠程文件包含漏洞"？回答是：服務器通過php的特性（函數(shù)）去包含任意文件時，由于要包含的這個文件來源過濾不嚴，從而可去包含一個惡意文件，而我們可以構造這個惡意文件來達到邪惡的目的。2009-10-10
在本篇文章里小編給大家分享的是關于如何禁止別人直接訪問php文件的實例內(nèi)容，需要的朋友們可以參考下。2020-05-05
這篇文章主要介紹了PHP封裝CURL擴展類,實例分析了基于curl發(fā)送post、get請求及操作cookie等相關技巧,具有一定參考借鑒價值,需要的朋友可以參考下2015-07-07
這篇文章主要介紹了PHP連接MySQL數(shù)據(jù)的操作要點,本文直接給出代碼實例,需要的朋友可以參考下2015-03-03
這篇文章主要介紹了php文件系統(tǒng)處理方法,總結分析了php常用的文件操作函數(shù)功能與具體使用方法,具有一定參考借鑒價值,需要的朋友可以參考下2016-05-05
php max_execution_time執(zhí)行時間問題
大部分PHP代碼執(zhí)行時間都不會很久。但是有些時候，比如等待圖片上傳，可能執(zhí)行時間過長導致超時。2011-07-07