[php] htmlspecialchars와 mysql_real_escape_string은 PHP 코드를 주입으로부터 안전하게 보호합니까?

데이터베이스 쿼리의 경우 항상 준비된 매개 변수화 된 쿼리를 사용하십시오. mysqli및 PDO라이브러리는이 기능을 지원. .NET과 같은 이스케이프 함수를 사용하는 것보다 훨씬 안전 mysql_real_escape_string합니다.

예, mysql_real_escape_string사실상 문자열 이스케이프 함수입니다. 마법의 총알이 아닙니다. 단일 쿼리 문자열에서 안전하게 사용할 수 있도록 위험한 문자를 이스케이프 처리합니다. 그러나 미리 입력을 삭제하지 않으면 특정 공격 벡터에 취약해질 수 있습니다.

다음 SQL을 상상해보십시오.

$result = "SELECT fields FROM table WHERE id = ".mysql_real_escape_string($_POST['id']);

이것이 악용에 취약하다는 것을 알 수 있어야합니다. 매개 변수에 일반적인 공격 벡터가 포함되어
있다고 상상해보십시오 id.

1 OR 1=1

인코딩 할 위험한 문자가 없으므로 이스케이프 필터를 통과합니다. 우리를 떠나 :

SELECT fields FROM table WHERE id= 1 OR 1=1

이것은 멋진 SQL 주입 벡터이며 공격자가 모든 행을 반환 할 수 있도록합니다. 또는

1 or is_admin=1 order by id limit 1

생산하는

SELECT fields FROM table WHERE id=1 or is_admin=1 order by id limit 1

이것은 공격자가이 완전히 가상의 예에서 첫 번째 관리자의 세부 정보를 반환 할 수 있도록합니다.

이러한 기능은 유용하지만주의해서 사용해야합니다. 모든 웹 입력이 어느 정도 검증되었는지 확인해야합니다. 이 경우 우리가 숫자로 사용하던 변수가 실제로 숫자인지 확인하지 않았기 때문에 악용 될 수 있음을 알 수 있습니다. PHP에서는 입력이 정수, 부동 소수점, 영숫자 등인지 확인하기 위해 함수 세트를 광범위하게 사용해야합니다. 그러나 SQL에 관해서는 준비된 명령문의 대부분의 값에 유의하십시오. 위의 코드는 데이터베이스 함수가 1 OR 1=1유효한 리터럴이 아니라는 것을 알았 기 때문에 준비된 문이라면 안전했을 것 입니다.

에 관해서는 htmlspecialchars(). 그것은 그 자체로 지뢰밭입니다.

PHP에는 다양한 html 관련 이스케이프 기능이 선택되어 있고 정확히 어떤 기능이 무엇을하는지에 대한 명확한 지침이 없다는 점에서 PHP에는 실제 문제가 있습니다.

첫째, HTML 태그 안에 있다면 정말 문제가됩니다. 보다

echo '<img src= "' . htmlspecialchars($_GET['imagesrc']) . '" />';

우리는 이미 HTML 태그 안에 있으므로 위험한 작업을 수행하기 위해 <또는>가 필요하지 않습니다. 우리의 공격 벡터는javascript:alert(document.cookie)

이제 결과 HTML은 다음과 같습니다.

<img src= "javascript:alert(document.cookie)" />

공격이 곧장 진행됩니다.

더 나빠집니다. 왜? htmlspecialchars(이 방법으로 호출하면) 작은 따옴표가 아닌 큰 따옴표 만 인코딩 하기 때문 입니다. 그래서 만약 우리가

echo "<img src= '" . htmlspecialchars($_GET['imagesrc']) . ". />";

우리의 사악한 공격자는 이제 완전히 새로운 매개 변수를 주입 할 수 있습니다.

pic.png' onclick='location.href=xxx' onmouseover='...

우리에게 주어지다

<img src='pic.png' onclick='location.href=xxx' onmouseover='...' />

이러한 경우에는 마법의 총알이 없으며 입력을 직접 확인하면됩니다. 나쁜 문자를 걸러 내려고하면 확실히 실패 할 것입니다. 화이트리스트 접근 방식을 취하고 좋은 문자 만 통과 시키십시오. 벡터의 다양성에 대한 예 는 XSS 치트 시트 를 참조하십시오.

htmlspecialchars($string)HTML 태그 외부에서 사용하더라도 다중 바이트 문자 집합 공격 벡터에 여전히 취약합니다.

가장 효과적인 방법은 다음과 같이 mb_convert_encoding과 htmlentities의 조합을 사용하는 것입니다.

$str = mb_convert_encoding($str, 'UTF-8', 'UTF-8');
$str = htmlentities($str, ENT_QUOTES, 'UTF-8');

이것조차도 UTF를 처리하는 방식 때문에 IE6를 취약하게 만듭니다. 그러나 IE6 사용이 감소 할 때까지 ISO-8859-1과 같은 더 제한된 인코딩으로 대체 할 수 있습니다.

멀티 바이트 문제에 대한 심층 연구는 https://stackoverflow.com/a/12118602/1820을 참조 하십시오.

답변

function Numbers($input) {
  $input = preg_replace("/[^0-9]/","", $input);
  if($input == '') $input = 0;
  return $input;
}

SELECT fields FROM table WHERE id='".mysql_real_escape_string($_GET['id'])."'"

SELECT fields FROM table WHERE id='1 OR 1=1'

$result = "SELECT fields FROM table WHERE id = ".(INT) $_GET['id'];