初探PHP的SQL注入攻击的技术实现以及预防措施

最新推荐文章于 2024-08-05 22:55:20 发布
最新推荐文章于 2024-08-05 22:55:20 发布
阅读量886 收藏
点赞数
分类专栏： Mysql 文章标签： sql server sql注入

SQL攻击（SQL injection，台湾称作SQL资料隐码攻击），简称注入攻击，是发生于应用程序之数据库层的安全漏洞。简而言之，是在输入的字符串之中注入SQL指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破坏。

有部份人认为SQL注入攻击是只针对Microsoft SQL Server而来，但只要是支持批处理SQL指令的数据库服务器，都有可能受到此种手法的攻击。

原因

在应用程序中若有下列状况，则可能应用程序正暴露在SQL Injection的高风险情况下：

  1. 在应用程序中使用字符串联结方式组合SQL指令。
  2. 在应用程序链接数据库时使用权限过大的账户（例如很多开发人员都喜欢用sa（内置的最高权限的系统管理员账户）连接Microsoft SQL Server数据库）。
  3. 在数据库中开放了不必要但权力过大的功能（例如在Microsoft SQL Server数据库中的xp_cmdshell延伸预存程序或是OLE Automation预存程序等）
  4. 太过于信任用户所输入的数据，未限制输入的字符数，以及未对用户输入的数据做潜在指令的检查。

作用原理

  1. SQL命令可查询、插入、更新、删除等，命令的串接。而以分号字符为不同命令的区别。（原本的作用是用于SubQuery或作为查询、插入、更新、删除……等的条件式）
  2. SQL命令对于传入的字符串参数是用单引号字符所包起来。《但连续2个单引号字符，在SQL数据库中，则视为字符串中的一个单引号字符》
  3. SQL命令中，可以注入注解《连续2个减号字符 -- 后的文字为注解，或“/*”与“*/”所包起来的文字为注解》
  4. 因此，如果在组合SQL的命令字符串时，未针对单引号字符作取代处理的话，将导致该字符变量在填入命令字符串时，被恶意窜改原本的SQL语法的作用。

以上内容摘自维基百科@

最近翻到一本有关SQL注入攻击与防御的一本书，当然这本书内容很长，我还只读了前两章部分，后续我会慢慢把书里的知识梳理到我的博客中来！


SQL 注入攻击的主要原因，是因为以下两点原因：

1. PHP 配置文件 php.ini 中的 magic_quotes_gpc选项没有打开，被置为 off；

2. 开发者没有对数据类型进行检查和转义。

不过事实上，第二点最为重要。我认为， 对用户输入的数据类型进行检查，向 MySQL 提交正确的数据类型，这应该是一个 web 程序员最最基本的素质。但现实中，常常有许多小白式的 Web 开发者忘了这点，从而导致后门大开。

为什么说第二点最为重要？因为如果没有第二点的保证，magic_quotes_gpc 选项，不论为 on，还是为 off，都有可能引发 SQL 注入攻击。下面来看一下技术实现：

一、 magic_quotes_gpc= Off 时的注入攻击

magic_quotes_gpc = Off 是 php 中一种非常不安全的选项。新版本的 php 已经将默认的值改为了 On。但仍有相当多的服务器的选项为 off。毕竟，再古董的服务器也是有人用的。

当magic_quotes_gpc = On　时，它会将提交的变量中所有的 '(单引号)、"(双号号)、(反斜线)、空白字符，都会在前面自动加上 。下面是 PHP的官方说明：

magic_quotes_gpc  boolean

Sets the magic_quotes state for GPC (Get/Post/Cookie) operations. When magic_quotes are on, all ' (single-quote), " (double quote), (backslash) and NUL's are escaped with a backslash automatically

如果没有转义，即 off 情况下，就会让攻击者有机可乘。以下列测试脚本为例：

[php] view plain copy print ?
  1. <?  
  2. if (isset($_POST["f_login"])) {  
  3.   // 连接数据库...  
  4.   // ...代码略...  
  5.   // 检查用户是否存在  
  6.   $t_strUname = $_POST["f_uname"];  
  7.   $t_strPwd = $_POST["f_pwd"];  
  8.   $t_strSQL = "SELECT * FROM tbl_users WHERE username='$t_strUname' AND password = '$t_strPwd' LIMIT 0,1";  
  9.   
  10.   if ($t_hRes = mysql_query($t_strSQL)) {  
  11.     // 成功查询之后的处理. 略...  
  12.   }  
  13. }  
  14. ?>  

[html] view plain copy print ?
  1. <html><head><title>test</title></head>  
  2. <body>  
  3. <form method="post" action="">  
  4.   Username: <input type="text" name="f_uname" size=30><br>  
  5.   Password: <input type=text name="f_pwd" size=30><br>  
  6.   <input type="submit" name="f_login" value="登录">  
  7. </form>  
  8. </body>  
在这个脚本中，当用户输入正常的用户名和密码，假设值分别为 zhang3、abc123，则提交的 SQL 语句如下：
SELECT * FROM tbl_users WHERE username='zhang3' AND password = 'abc123' LIMIT 0,1
如果攻击者在 username 字段中输入：zhang3' OR 1=1 #，在 password 输入 abc123，则提交的 SQL 语句变成如下：
SELECT * FROM tbl_users WHERE username='zhang3' OR 1=1 #' AND password = 'abc123' LIMIT 0,1
由于 # 是 mysql中的注释符， #之后的语句不被执行，实现上这行语句就成了：
SELECT * FROM tbl_users WHERE username='zhang3' OR 1=1

 这样攻击者就可以绕过认证了。如果攻击者知道数据库结构，那么它构建一个 UNION SELECT，那就更危险了：

假设在 username 中输入：zhang3 ' OR 1 =1 UNION select cola, colb,cold FROM tbl_b #

在password 输入： abc123，

则提交的 SQL 语句变成：

[php] view plain copy print ?
  1. SELECT * FROM tbl_users WHERE username='zhang3 ' OR 1 =1 UNION select cola, colb,cold FROM tbl_b #' AND password = 'abc123' LIMIT 0,1  
这样就相当危险了。

二、magic_quotes_gpc = On 时的注入攻击

当 magic_quotes_gpc = On 时，攻击者无法对字符型的字段进行 SQL 注入。这并不代表这就安全了。这时，可以通过数值型的字段进行SQL注入。

在最新版的 mysql 5.x 中，已经严格了数据类型的输入，已默认关闭自动类型转换。数值型的字段，不能是引号标记的字符型。也就是说，假设 uid 是数值型的，在以前的 mysql 版本中，这样的语句是合法的：

[sql] view plain copy print ?
  1. INSERT INTO tbl_user SET uid="1";  
  2. SELECT * FROM tbl_user WHERE uid="1";  
在最新的 MYSQL 5.x 中，上面的语句不是合法的，必须写成这样：
[sql] view plain copy print ?
  1. INSERT INTO tbl_user SET uid=1;  
  2. SELECT * FROM tbl_user WHERE uid=1;  
这样我认为是正确的。因为作为开发者，向数据库提交正确的符合规则的数据类型，这是最基本的要求。

那么攻击者在 magic_quotes_gpc = On 时，他们怎么攻击呢？很简单，就是对数值型的字段进行 SQL 注入。以下列的 php 脚本为例：

[php] view plain copy print ?
  1. <?  
  2. if (isset($_POST["f_login"])) {  
  3.   // 连接数据库...  
  4.   // ...代码略...  
  5.   // 检查用户是否存在  
  6.   $t_strUid = $_POST["f_uid"];  
  7.   $t_strPwd = $_POST["f_pwd"];  
  8.   $t_strSQL = "SELECT * FROM tbl_users WHERE uid=$t_strUid AND password = '$t_strPwd' LIMIT 0,1";  
  9.   if ($t_hRes = mysql_query($t_strSQL)) {  
  10.     // 成功查询之后的处理. 略...  
  11.   }  
  12. }  
  13. ?>  

[html] view plain copy print ?
  1. <html><head><title>test</title></head>  
  2. <body>  
  3. <form method="post" action="">  
  4.   User ID: <input type="text" name="f_uid" size=30><br>  
  5.   Password: <input type=text name="f_pwd" size=30><br>  
  6.   <input type="submit" name="f_login" value="登录">  
  7. </form>  
  8. </body>  
  9. </html>  
上面这段脚本要求用户输入 userid 和 password 登入。一个正常的语句，用户输入 1001和abc123，提交的 sql 语句如下：
[sql] view plain copy print ?
  1. SELECT * FROM tbl_users WHERE userid=1001 AND password = 'abc123' LIMIT 0,1  

如果攻击者在 userid 处，输入：1001 OR 1 =1 #，则注入的sql语句如下：

[sql] view plain copy print ?
  1. SELECT * FROM tbl_users WHERE userid=1001 OR 1 =1 # AND password = 'abc123' LIMIT 0,1  
攻击者达到了目的。


 三、如何防止 PHP的SQL 注入攻击

如何防止 php sql 注入攻击？我认为最重要的一点，就是要对数据类型进行检查和转义。总结的几点规则如下：

1. php.ini 中的 display_errors 选项，应该设为　display_errors = off。这样 php 脚本出错之后，不会在 web 页面输出错误，以免让攻击者分析出有作的信息。

2. 调用 mysql_query 等 mysql 函数时，前面应该加上 @，即 @mysql_query(...)，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。另外，有些程序员在做开发时，当 mysql_query出错时，习惯输出错误以及 sql 语句，例如：

[php] view plain copy print ?
  1. <php  
  2. $t_strSQL = "SELECT a from b....";  
  3. if (mysql_query($t_strSQL)) {  
  4.   // 正确的处理  
  5. } else {  
  6.   echo "错误! SQL 语句：$t_strSQL  
  7. 错误信息" . mysql_query();  
  8.   exit;  
  9. }  
  10. ?>  

这种做法是相当危险和愚蠢的。如果一定要这么做，最好在网站的配置文件中，设一个全局变量或定义一个宏，设一下 debug 标志：

[php] view plain copy print ?
  1. <?php  
  2. //全局配置文件中：  
  3. define("DEBUG_MODE", 0);    // 1: DEBUG MODE; 0: RELEASE MODE  
  4. //调用脚本中：  
  5. $t_strSQL = "SELECT a from b....";  
  6. if (mysql_query($t_strSQL)) {  
  7.     // 正确的处理  
  8. } else {  
  9.     if (DEBUG_MODE) {  
  10.         echo "错误! SQL 语句：$t_strSQL错误信息" . mysql_query();  
  11.     }  
  12.     exit;  
  13. }  
  14. ?>  

3. 对提交的 sql 语句，进行转义和类型检查。

四、我写的一个安全参数获取函数

为了防止用户的错误数据和 php + mysql 注入 ，我写了一个函数 PAPI_GetSafeParam()，用来获取安全的参数值：

[php] view plain copy print ?
  1. <?php  
  2. define("XH_PARAM_INT", 0);  
  3. define("XH_PARAM_TXT", 1);  
  4. function PAPI_GetSafeParam($pi_strName, $pi_Def = "", $pi_iType = XH_PARAM_TXT) {  
  5.     if (isset($_GET[$pi_strName])) {  
  6.         $t_Val = trim($_GET[$pi_strName]);  
  7.     } else if (isset($_POST[$pi_strName])) {  
  8.         $t_Val = trim($_POST[$pi_strName]);  
  9.     } else {  
  10.         return $pi_Def;  
  11.     }  
  12.   
  13.     // INT  
  14.     if (XH_PARAM_INT == $pi_iType) {  
  15.         if (is_numeric($t_Val)) {  
  16.             return $t_Val;  
  17.         } else {  
  18.             return $pi_Def;  
  19.         }  
  20.     }  
  21.    
  22.     // String  
  23.     $t_Val = str_replace("&", "&", $t_Val);  
  24.     $t_Val = str_replace("<", "<", $t_Val);  
  25.     $t_Val = str_replace(">", ">", $t_Val);  
  26.    
  27.     if (get_magic_quotes_gpc()) {  
  28.         $t_Val = str_replace("\"", """, $t_Val);  
  29.         $t_Val = str_replace("\''", "'", $t_Val);  
  30.     } else {  
  31.         $t_Val = str_replace(""", """, $t_Val);  
  32.         $t_Val = str_replace("'", "'", $t_Val);  
  33.     }  
  34.    
  35.     return $t_Val;  
  36. }  
  37. ?>  


在这个函数中，有三个参数：

  • $pi_strName：变量名
  • $pi_Def：默认值
  • $pi_iType： 数据类型。取值为 XH_PARAM_INT，XH_PARAM_TXT，分别表示数值型和文本型。

如果请求是数值型，那么调用 is_numeric() 判断是否为数值。如果不是，则返回程序指定的默认值。

简单起见，对于文本串，我将用户输入的所有危险字符（包括HTML代码），全部转义。由于 php 函数 addslashes()存在漏洞，我用 str_replace()直接替换。get_magic_quotes_gpc( ) 函数是 php 的函数，用来判断 magic_quotes_gpc 选项是否打开。

刚才第二节的示例，代码可以这样调用：

[php] view plain copy print ?
  1. <?php  
  2. if (isset($_POST["f_login"])) {  
  3.     // 连接数据库...  
  4.     // ...代码略...  
  5.     // 检查用户是否存在  
  6.     $t_strUid = PAPI_GetSafeParam("f_uid", 0, XH_PARAM_INT);  
  7.     $t_strPwd = PAPI_GetSafeParam("f_pwd", "", XH_PARAM_TXT);  
  8.     $t_strSQL = "SELECT * FROM tbl_users WHERE uid=$t_strUid AND password = '$t_strPwd' LIMIT 0,1";  
  9.     if ($t_hRes = mysql_query($t_strSQL)) {  
  10.         // 成功查询之后的处理. 略...  
  11.     }  
  12. }  
  13. ?>  

这样的话，就已经相当安全了。PAPI_GetSafeParam的代码有点长，但牺牲这点效率，对保证安全，是值得的。希望大家多批评指正。

A心无旁骛
关注
专栏目录
PHP与SQL注入攻击[三]
10-30
PHP与SQL注入攻击[三]
php之sql注入
weixin_58782362的博客
07-25 934
X-Forwarded-For：简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP,（通常一些网站的防注入功能会记录请求端真实IP地址并写入数据库or某文件[通过修改XXF头可以实现伪造IP]）.数据请求格式，有些时候是base64加密，有些时候json加密，base64需要直接进行转换，json是用bp抓包后进行更改，直接在值上面。如果单引号被限制了，可以使用16进制（sql注入中，编码就不用单引号，路径、表名、数据库等）通过A网站的注入点直接拿到B网站的信息，但前提是需要root权限。
SQL注入攻击
最新发布
qq_67812668的博客
08-05 1550
1.SQL注入的原理SQL注入就是通过web表单吧SQL命令提交到web应用程序，由于程序没有细致的过滤用户输入的数据，造成字符串拼接，进而恶意的SQL语句被执行，造成数据库信息泄露，网页篡改，数据库被恶意操作等 2.SQL注入的危害数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。网页篡改：通过操作数据库对特定网页进行篡改。网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员账户被窜改。
SQL注入攻击讲解及PHP防止SQL注入攻击的几种方法
wuxiaopengnihao1的博客
08-25 1386
本文章向大家介绍什么是SQL注入攻击，以及在php网站开发中，如何防止SQL注入攻击。PHP防止SQL注入攻击有三种常用方法，第一种方法是使用PHP转义字符串mysql_real_escape_string()函数，第二种方法是使用mysqli的prepare语句,第三种方法是使用PDO。
PHP常见漏洞（1）--SQL注入攻击
weixin_33850015的博客
11-08 264
SQL注入攻击(SQLInjection)，是攻击者在表单中提交精心构造的sql语句，改动原来的sql语句，如果web程序没有对提交的数据经过检查，那么就会造成sql注入攻击。 SQL注入攻击的一般步骤: 1、攻击者访问有SQL注入漏洞的站点，寻找注入点 2、攻击者构造注入语句，注入语句和程序中的SQL语句结合生成新的sql语句3、新的s...
PHP安全编码总结笔记之SQL注入
heshihu2019的博客
12-25 63
*SQL注入: **代码中的 HTTP_X_FORWARDED_FOR 地址可以被伪造，而REMOTE_ADDR则相对更安全，有些应用程序会将对方IP地址带入数据库查询是否存在，例如同一个IP每天只能注册一个账号等，如果目标代码中使用的是 HTTP_X_FORWARDED_FOR 获取的IP地址，那么攻击者就可以通过修改HTTP包头实现SQL注入攻击。**Cookie注入: **当level>=2时,使用cookie注入,level >=3 使用User-agent/Referer注入.
php sql注入
技术的搬运工
01-16 2354
在应用程序中，为了和用户交互，允许用户提交输入数据，假如应用程序并没有对用户输入数据进行处理，攻击者可以输入一些跟sql语句相关的字符串（一般带有特殊字符）从而让应用程序执行危险的 SQL 操作，导致泄漏机密数据(比如用户信息)或直接修改删除线上的数据。
php如何实现sql注入
weixin_42577243的博客
01-18 431
SQL注入是通过构造恶意的SQL语句，利用程序中的漏洞，直接在数据库中执行。在 PHP 中，可以使用 PDO 或 mysqli 来预处理 SQL 语句来防止 SQL 注入。这样可以避免在查询中直接插入用户输入的数据。 如果使用 PDO ，可以使用 prepare() 和 execute() 方法来预处理 SQL 语句，并将参数绑定到语句中。 如果使用 mysqli ，可以使用 prepare() ...
细谈php中SQL注入攻击与XSS攻击
12-18
例如: SQL注入攻击 XSS攻击 复制代码 代码如下: 任意执行代码 文件包含以及CSRF. } 关于SQL攻击有很多文章还有各种防注入脚本,但是都不能解决SQL注入的根本问题 见代码: 复制代码 代码如下: <?php mysql_connect(“localhost”,”root”,”123456″)or die(“数据库连接失败!”); mysql_select_db(“test1”); $user=$_post[‘uid’]; $pwd=$_POST[‘pass’]; if(mysql_query(“SELECT * from where admin = `username`=’$
PHP代码审计系列基础文章（一）之SQL注入漏洞篇
FreeBuf_的博客
11-14 1167
在审计SQL注入的时候，我们首先要找到对应的传参点，更要多关注代码中正常SQL语句的规则和过滤情况，最重要的是要闭合正常的SQL语句来，最终执行我们想要执行的SQL语句。
php sql注入类型,了解常见的php的sql注入式攻击
weixin_29794879的博客
03-23 251
了解常见的php的sql注入式攻击在php开发网站的过程中，经常会遇到各种类型的攻击，比如注入式攻击、多个查询的注入攻击等。就跟随百分网小编一起去了解下吧，想了解更多相关信息请持续关注我们应届毕业生考试网!一、 注入式攻击当脚本正在执行一个SELECT指令，攻击者便可以强迫显示一个表格中的每一行记录-通过把一个例如"1=1"这样的条件注入到WHERE子句中，如下所示：复制代码 代码示例:SELEC...
PHP代码审计4—Sql注入漏洞
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
07-18 2543
SQL注入代码审计入门
基于PHP的SQL注入详解
herion_liu的博客
11-16 1万+
什么是SQL注入？就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。 例如一个简单的登录表单（这里把密码写成明文方便说明）： 当在表单中填写这样的语句进行提交登录时会出现这样的SQL语句select * from t_admin where admin_name='xxx' and admin_pwd='xxx'' or '1'
如何在PHP中防止SQL注入？
热门推荐
请叫我搞向
08-17 2万+
如何在PHP中防止SQL注入？ stackoverflow上php中得票最高的一个问题，原文链接 http://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php 如需转载请注明原文和译文的链接谢谢 高翔翻译 Q：如果把用户输入的没有任何改动的放到SQL的查询语句中，很有可能会导致S
PHP SQL注入漏洞防范
学无止境
05-20 1110
在PHP中采用魔术引号进行过滤，但是PHP5.4之后被取消了，同时在遇到int型注入也不会那么有效，所以用的最多的还是过滤函数和类（例如discuz,dedecms,phpcms），如果单纯的过滤函数写的不严谨，就会出现绕过的情况，最好的解决方法还是预编译的方式。 GPC/runtime魔术引号 数据污染有两种方式，一种是应用被动接受参数，类似于GET,POST等，还有一种是主动获取参数，类似...
php网站防止sql注入攻击方法
qq_780662763的博客
03-05 465
网站安全防护—该如何防止SQL注入攻击？ 移动互联网的发展势头已经远远超过PC互联网，手机移动端上网，以及持有量远超PC电脑， 随着移动大数据、区块链的技术在不断的完善，成熟，日常生活中经常会听到某某网站被攻击， 网站被黑的新闻报道，再比如一个团购网站被入侵，导致用户的信息隐私被泄露，多少万的会员 数据被盗走，这无意是给网站带来了严重的影响与经济损失。 像之前的高考网站被黑，高考完的学生们去查高...
PHP 防SQL注入和XSS攻击
郎涯技术
11-21 3717
就是通过把SQL命令、JS脚本等插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令.在用户名输入框中输入:' or 1=1#,密码随便输入，这时候的合成后的SQL查询语句为“#”在mysql中是注释符，这样井号后面的内容将被mysql视为注释内容，这样就不会去执行了,等价于 select * from users where usernam...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值