[php] PHP에서 SQL 삽입을 어떻게 방지 할 수 있습니까?

준비된 명령문과 매개 변수화 된 쿼리를 사용하십시오. 이는 데이터베이스 서버에서 매개 변수와 별도로 보내거나 구문 분석하는 SQL 문입니다. 이런 식으로 공격자가 악의적 인 SQL을 주입하는 것은 불가능합니다.

기본적으로이를 달성하기위한 두 가지 옵션이 있습니다.

1. PDO 사용 (지원되는 모든 데이터베이스 드라이버) :

   $stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name');
   
   $stmt->execute([ 'name' => $name ]);
   
   foreach ($stmt as $row) {
       // Do something with $row
   }
   

2. MySQLi 사용 (MySQL의 경우) :

   $stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?');
   $stmt->bind_param('s', $name); // 's' specifies the variable type => 'string'
   
   $stmt->execute();
   
   $result = $stmt->get_result();
   while ($row = $result->fetch_assoc()) {
       // Do something with $row
   }
   

당신은 MySQL의 데이터베이스가 아닌 다른 데이터베이스에 연결하는 경우 (예를 들어, 참조 할 수 드라이버 별 두 번째 옵션이 pg_prepare()와 pg_execute()PostgreSQL을위한)가. PDO는 보편적 인 옵션입니다.

연결을 올바르게 설정

PDOMySQL 데이터베이스에 액세스 할 때 실제 준비된 명령문은 기본적으로 사용되지 않습니다 . 이 문제를 해결하려면 준비된 명령문의 에뮬레이션을 비활성화해야합니다. PDO를 사용하여 연결을 작성하는 예는 다음과 같습니다.

$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'password');

$dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

위의 예에서 오류 모드는 꼭 필요한 것은 아니지만 추가하는 것이 좋습니다 . 이런 식으로 Fatal Error무언가 잘못되었을 때 스크립트가 멈추지 않습니다 . 또한 개발자 catch는 thrown으로 n 인 모든 오류에 대한 기회를 제공합니다 PDOException.

무엇 필수 , 그러나, 처음으로 setAttribute()비활성화 에뮬레이트 준비된 문 및 사용에 PDO를 알려줍니다 라인, 실제 준비된 문을. 이를 통해 PHP가 명령문과 값을 구문 분석하지 않고이를 MySQL 서버로 전송합니다 (가능한 공격자에게 악의적 인 SQL을 삽입 할 기회를주지 않음).

charset생성자의 옵션에서 를 설정할 수는 있지만 PHP의 ‘이전’버전 (5.3.6 이전) 은 DSN 의 charset 매개 변수 를 자동으로 무시했습니다 .

설명

전달한 SQL 문 prepare은 데이터베이스 서버에 의해 구문 분석되고 컴파일됩니다. 매개 변수 ( 위의 예에서 ?와 같이 또는 명명 된 매개 변수 :name)를 지정하여 데이터베이스 엔진에 필터링 할 위치를 알려줍니다. 그런 다음을 호출 execute하면 준비된 명령문이 지정한 매개 변수 값과 결합됩니다.

여기서 중요한 것은 매개 변수 값이 SQL 문자열이 아니라 컴파일 된 명령문과 결합된다는 것입니다. SQL 삽입은 데이터베이스에 보낼 SQL을 생성 할 때 악성 문자열을 포함하도록 스크립트를 속이는 방식으로 작동합니다. 따라서 실제 SQL을 매개 변수와 별도로 보내서 원하지 않는 것으로 끝나는 위험을 제한 할 수 있습니다.

준비된 명령문을 사용할 때 전송하는 모든 매개 변수는 문자열로 취급됩니다 (데이터베이스 엔진이 일부 최적화를 수행하여 매개 변수도 물론 숫자로 끝날 수 있음). 위의 예에서 $name변수 'Sarah'; DELETE FROM employees에 결과가 포함되어 있으면 단순히 문자열을 검색하는 "'Sarah'; DELETE FROM employees"것이므로 빈 테이블로 끝나지 않습니다 .

준비된 명령문을 사용하면 얻을 수있는 또 다른 이점은 동일한 세션에서 동일한 명령문을 여러 번 실행하면 구문 분석 및 컴파일이 한 번만 수행되므로 속도가 약간 향상된다는 것입니다.

아, 그리고 당신은 삽입을 위해 그것을하는 방법에 대해 물었으므로 다음은 PDO를 사용하는 예입니다.

$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)');

$preparedStatement->execute([ 'column' => $unsafeValue ]);

준비된 명령문을 동적 쿼리에 사용할 수 있습니까?

쿼리 매개 변수에 준비된 문을 계속 사용할 수는 있지만 동적 쿼리 자체의 구조를 매개 변수화 할 수 없으며 특정 쿼리 기능을 매개 변수화 할 수 없습니다.

이러한 특정 시나리오의 경우 가장 좋은 방법은 가능한 값을 제한하는 화이트리스트 필터를 사용하는 것입니다.

// Value whitelist
// $dir can only be 'DESC', otherwise it will be 'ASC'
if (empty($dir) || $dir !== 'DESC') {
   $dir = 'ASC';
}

답변

//Connect

$unsafe_variable = $_POST["user-input"];
$safe_variable = mysql_real_escape_string($unsafe_variable);

mysql_query("INSERT INTO table (column) VALUES ('" . $safe_variable . "')");

//Disconnect

<?php
    $mysqli = new mysqli("server", "username", "password", "database_name");

    // TODO - Check that connection was successful.

    $unsafe_variable = $_POST["user-input"];

    $stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)");

    // TODO check that $stmt creation succeeded

    // "s" means the database expects a string
    $stmt->bind_param("s", $unsafe_variable);

    $stmt->execute();

    $stmt->close();

    $mysqli->close();
?>

$orders  = array("name", "price", "qty"); // Field names
$key = array_search($_GET['sort'], $orders)); // if we have such a name
$orderby = $orders[$key]; // If not, first one will be set automatically. 
$query = "SELECT * FROM `table` ORDER BY $orderby"; // Value is safe

$orderby = white_list($_GET['orderby'], "name", ["name","price","qty"], "Invalid field name");
$query  = "SELECT * FROM `table` ORDER BY `$orderby`"; // sound and safe

$stmt = $conn->prepare("INSERT INTO tbl VALUES(:id, :name)");
$stmt->bindValue(':id', $id);
$stmt->bindValue(':name', $name);
$stmt->execute();

SELECT password FROM users WHERE name = 'root'

SELECT password FROM users WHERE name = 0x726f6f74

SELECT password FROM users WHERE name = UNHEX('726f6f74')

"SELECT title FROM article WHERE id = " . mysql_real_escape_string($_GET["id"])

$name_bad = "' OR 1'";

$name_bad = mysql_real_escape_string($name_bad);

$query_bad = "SELECT * FROM customers WHERE username = '$name_bad'";
echo "Escaped Bad Injection: <br />" . $query_bad . "<br />";


$name_evil = "'; DELETE FROM customers WHERE 1 or username = '";

$name_evil = mysql_real_escape_string($name_evil);

$query_evil = "SELECT * FROM customers WHERE username = '$name_evil'";
echo "Escaped Evil Injection: <br />" . $query_evil;