聊一聊php程序的sql注入攻击与字符转义问题

SQL注入攻击其实就是对数据转义不完全,破坏了预期的sql查询语句的结构,那么今天来聊一聊数据的转义与清理,做好它就能避免这类型的攻击。

php程序曾经出现过魔术引号magic_quotes功能,开启时会自动对数据转义,该功能从5.3版本起废止,并在5.4版本中移除,他们是以下三个:

magic_quotes_sybase:
开启这个选项后,将用单引号对单引号转义,其他字符不转义。默认关闭,可在运行时修改,ini_get()ini_set()获取和设置状态

magic_quotes_gpc:
为 GPC (Get/Post/Cookie) 操作设置 magic_quotes 状态。 当 magic_quotes 为 on,所有的 ' (单引号)、" (双引号)、\(反斜杠)和 NUL's 被一个反斜杠自动转义。如果 magic_quotes_sybase 也是 ON,它会完全覆盖 magic_quotes_gpc。 两个指令都启用意味着只有单引号被转义为 ''(用单引号对单引号转义)。 双引号、反斜杠和 NUL's 不会被转义。bool get_magic_quotes_gpc ( void )获取当前 magic_quotes_gpc 的配置选项设置,注意尝试在运行时设置 magic_quotes_gpc 将不会生效,只能在系统级别关闭。

magic_quotes_runtime:
如果启用了 magic_quotes_runtime,大多数返回任何形式外部数据的函数,包括数据库和文本段将会用反斜线转义引号。 如果启用了 magic_quotes_sybase,单引号会被单引号转义而不是反斜线。bool set_magic_quotes_runtime ( bool $new_setting )设置是否开启,magic_quotes_runtime()是它的别名,bool get_magic_quotes_runtime ( void )获取当前状态

注意:以上的魔术引号功能从5.3版本起废止,并在5.4版本中移除,获取状态时将始终返回false.

以下是php转义方面的函数:

addslashes():
添加反斜线,函数原型string addslashes ( string $str )返回字符串,该字符串为了数据库查询语句等的需要在某些字符前加上了反斜线。这些字符是单引号(')、双引号(")、反斜线(\)与 NUL(NULL 字符)。

stripslashes()
去掉反斜线,函数原型string stripslashes ( string $str ),返回一个去除转义反斜线后的字符串(\' 转换为 ' 等等)。在多个连续反斜线的情况下,用它转义后并不能保证返回字符里面就没有反斜线了,比如在连续三个反斜线的情况下会保留一个返回。,经过笔者测试,此函数去除反斜杠的规则为:连续两个及两个以内则全部去除,超过两个则减去2再除以4,进一法取整,如7个连续的反斜杠经过它处理后为:ceil((7-2)/4)=2个,所以在实际的运用中可以将3个以上的连续反斜线替换为3个再用这个函数。注意,这个问题在php官方网站没有提及。

addcslashes():
以 C 语言风格使用反斜线转义字符串中的字符, string addcslashes ( string $str , string $charlist ),返回字符串,该字符串在属于参数 charlist 列表中的字符前都加上了反斜线。它可以对任意字符转义,甚至可以指定字符范围,在该范围内的字符全部进行转义,详见php官方网站有详细介绍

stripcslashes():
反引用一个使用 addcslashes() 转义的字符串, string stripcslashes ( string $str ),返回反转义后的字符串。可识别类似 C 语言的 \n,\r,... 八进制以及十六进制的描述。

在和数据库交互的时候强烈建议使用 DBMS 指定的转义函数 (比如 MySQL 是 mysqli_real_escape_string(),PostgreSQL 是 pg_escape_string()),但是如果你使用的 DBMS 没有提供一个转义函数,并且使用 \ 来转义特殊字符,你可以使用上面的函数,额外的 \ 并不会插入。

mysql_escape_string():
 string mysql_escape_string ( string $unescaped_string )它将 unescaped_string 转义,使之可以安全用于 mysql_query()。但mysql_escape_string() 并不转义 % 和 _。 此函数和 mysql_real_escape_string() 完全一样,除了 mysql_real_escape_string() 接受的是一个连接句柄并根据当前字符集转移字符串之外。mysql_escape_string() 并不接受连接参数,也不管当前字符集设定。 在ASCII, UTF-8, or ISO-8859-*的情况下可以安全转义字符,在使用多字节字符集的时候它可能是不安全的,基于这个原因所以推荐用mysqli_real_escape_string代替

那么为了防范SQL注入攻击,我们来仔细看看这个mysqli_real_escape_string函数:

mysqli_real_escape_string():
函数原型:string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier ] )此函数转义 SQL 语句中使用字符串中的特殊字符,并考虑到连接的当前字符集,防止多字节字符攻击问题,因此可以安全用于 mysql_query()。 注意它并不转义 % 和 _。 在mysql中%代表正则表达式中的*,_代表?

在实际运用中最常用的搜索功能如下:

SELECT * FROM table_name where new like '%key%' and ok=1;其中key为关键词,如果key不转义则如果其值为:key%'# 就会中断#后面的部分,#在mysql中代表注释(在mysql中-- (双长划)也代表注释,不过该注释风格要求在两个长划后至少有一个空格!否则出错) ,使得#后面的限制条件失效,如果在#前面再加上union语句则可以查出其他数据表的内容!所以使用外来数据和数据库交互时务必使用mysqli_real_escape_string()进行转义
刚才说了mysqli_real_escape_string()并不对%和_转义,在上面的查询时用他们做关键词会列出全部OK=1的内容(和关键字为空效果一样),所以还是有必要转义他们的。
那么如果用反斜杠本身做关键词呢?则需要对反斜杠转义后形成\\再提交给该函数再次转义形成4个连续的\才能查询出内容中包含一个反斜线的记录
在查询的实际运用中$str是外部数据,这样做是稳妥的:$str=mysqli_real_escape_string($link,addcslashes($str,"\\%_"));
多重转义并不会突破SQL语句的结构,但会导致查询失败,初学者可能会想既然 ' 被转义成了 \' 那么使用 \' 能否达成攻击呢?意图是提交反斜线破坏函数添加的反斜线,但答案是不能,它会被转义成 \\\' 也就是说反斜线本身还会被转义一次。

至于插入修改数据也需要用此函数转义外部数据,注意mysqli_real_escape_string()并不对 ~!@#$%^&*()[]=;:+-/`<>及空格转义,特别注意 ` (tab上面那个键)是不转义的

做好这些sql注入攻击基本就不可能实现了

本文由本博客原创,转载需注明出处:http://blog.csdn.net/u011474028  欢迎评论 互联网专业开发群:203286137





你可能感兴趣的:(php程序,php框架)