Obrana proti SQL Injection

Školení, která pořádám

Existuje několik způsobů, jak se bránit SQL Injection (což je schopnost uživatele modifikovat SQL dotaz pomocí předaných dat). Některé databázové vrstvy (ať už ty vestavěné jako MySQLi nebo nadstavbové jako PEAR DB) umožňují oddělení SQL dotazů od uživatelských dat, které jsou předávány jako parametry. V MySQLi se to dělá např. takhle:

<?php
$stmt = $mysqli->prepare("SELECT * FROM tabulka WHERE nazev = ? OR id = ?");
$stmt->bind_param("si", $_GET["nazev"], $_GET["id"]);
$stmt->execute();
?>

Pokud takovou vrstvou nedisponujete nebo se bez ní musíte obejít, je nutné parametry SQL dotazů předávat přímo jako jejich součást. A na tomto místě nastupuje obrana proti SQL Injection. Jeden způsob je ošetřit veškerá vstupní data vhodným způsobem (na což se dá zapomenout), druhý je použít direktivu magic_quotes_gpc a veškeré hodnoty uzavírat do apostrofů.

<?php
// ošetření vstupních dat
mysql_query("SELECT * FROM tabulka WHERE nazev = '" . mysql_real_escape_string($_GET["nazev"]) . "' OR id = " . intval($_GET["id"]));

// spolehnutí se na magic_quotes_gpc
mysql_query("SELECT * FROM tabulka WHERE nazev = '$_GET[nazev]' OR id = '$_GET[id]'");
?>

Všimněte si, že v druhé variantě je do apostrofů uzavřená i číselná hodnota. MySQL to umožňuje a pokud předaný řetězec nebude na číslo převoditelný, převede se na nulu. Já osobně mám magic_quotes_gpc rád, protože umožňuje vytvářet jednoduchý a přímočarý kód. Pokud se ale na nastavení této direktivy nemůžete spolehnout, nelze použít ani jeden z těchto způsobů. Druhý způsob nelze použít pochopitelně kvůli riziku SQL Injection, první nejde použít proto, že kdyby byla direktiva zapnutá, tak se předaná data budou escapovat dvakrát – jednou kvůli magic_quotes_gpc a jednou funkcí addslashes. V takovém případě je nutné vytvořit si vlastní funkci a použít ji místo addslashes:

<?php
function gpc_addslashes($str) {
    return (get_magic_quotes_gpc() ? $str : addslashes($str));
}
?>

V některých případech je samozřejmě nutné předaná data ošetřit i v případě zapnuté direktivy magic_quotes_gpc:

<?php
// nefunguje
mysql_query("SELECT * FROM tabulka LIMIT 10 OFFSET '$_GET[offset]'");

// funguje
mysql_query("SELECT * FROM tabulka LIMIT 10 OFFSET " . intval($_GET["offset"]));
?>

Chris Shiflett uvádí, jak se dá při použití některých vícebajtových znakových sad (např. UTF-8 se to netýká) ochrana slashováním obejít, Ilia Alshanetsky navíc dodává, že možnost stejného zneužití se týká i funkce mysql_real_escape_string. V našich zeměpisných šířkách se jedná spíše o teoretickou hrozbu, je to ale hezký příklad toho, že si člověk nemůže být nikdy ničím jistý.

Přijďte si o tomto tématu popovídat na školení Bezpečnost PHP aplikací.

Jakub Vrána, Výuka, 2.3.2005, diskuse: 82 (nové: 0)

Diskuse

dgx:

Pozor na jednu věc. Magic quotes (a vůbec addSlashes) nemusí fungovat v souladu se "slashováním", jaké používá databáze. Například databáze MS SQL nebo obecně ODBC slashují zdvojením apostrofu, nikoliv vložením lomítka před něj.

Obrana proti SQL Injection

Školení, která pořádám

Diskuse

dgx:

Jakub Vrána :

dgx:

petr77:

DFly:

Jakub Vrána :

DFly:

Jakub Vrána :

DFly:

Zrzek:

lll:

Jakub Vrána :

Havran:

Herfik:

Jakub Vrána :

Radim:

paradentóza:

Ken:

Radim:

dgx:

spaze:

Tomáš:

llook:

rezna:

llook:

Mordae:

Jakub Vrána :

Anit:

Jakub Vrána :

Anit:

Jakub Vrána :

Anit:

Anit:

Boreg:

Andrew:

Jakub Vrána :

lama:

diogenes:

Andrew:

Jakub Vrána :

cmircea:

Miky:

Jakub Vrána :

dgx:

flam:

dgx:

Jakub Vrána :

dgx:

Jakub Vrána :

dgx:

flam:

Jakub Vrána :

flam:

Jakub Vrána :

Fox:

Jakub Vrána :

Fox:

Jakub Vrána :

Fox:

tomasr:

Jakub Vrána :

tomasr:

Jakub Vrána :

tomasr:

tomasr:

Jakub Vrána :

tomasr:

v6ak:

patom:

fedor:

Jakub Vrána :

JB:

Jakub Vrána :

Jakub Rychtář:

HTMLHERGOT:

Michal:

Ales: