MySQL 及 SQL 注入式攻击详解与示例

由 hcduguo

Mysql 教程

如果通过网页接收用户输入，而后再把这些数据插入到数据库中，那么你可能就会碰到 SQL 注入式攻击。本节简要介绍如何防范这种攻击，确保脚本和 MySQL 语句的安全性。

注入式攻击往往发生在要求用户输入时，比如说要求他们输入自己的名字，但是他们却输入了一段 MySQL 语句，不知不觉地运行在数据库上。

永远不要相信用户所提供的数据，只有在验证无误后，才能去处理数据。通常，利用模式匹配来实现。在下面这个范例中，username（用户名）被限定为字母数字混合编制的字符串，再加上下划线，长度限定为8~20个字符之间。当然，可以按需要修改这些规范。

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches))
{
   $result = mysqli_query($conn, "SELECT * FROM users 
                          WHERE username=$matches[0]");
}
 else 
{
   echo "username 输入异常";
}

让我们看下在没有过滤特殊字符时，出现的SQL情况：

// 设定$name 中插入了我们不需要的SQL语句
$name = "Qadir'; DELETE FROM users;";
 mysqli_query($conn, "SELECT * FROM users WHERE name='{$name}'");

以上的注入语句中，我们没有对 $name 的变量进行过滤，$name 中插入了我们不需要的SQL语句，将删除 users 表中的所有数据。

在PHP中的 mysqli_query() 是不允许执行多个 SQL 语句的，但是在 SQLite 和 PostgreSQL 是可以同时执行多条SQL语句的，所以我们对这些用户的数据需要进行严格的验证。

防止SQL注入，我们需要注意以下几个要点：

  • 1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双”-“进行转换等。
  • 2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
  • 3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
  • 4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
  • 5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
  • 6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。

防止SQL注入

在脚本语言，如Perl和PHP你可以对用户输入的数据进行转义从而来防止SQL注入。

PHP的MySQL扩展提供了mysqli_real_escape_string()函数来转义特殊的输入字符。

if (get_magic_quotes_gpc()) 
{
  $name = stripslashes($name);
}
$name = mysqli_real_escape_string($conn, $name);
 mysqli_query($conn, "SELECT * FROM users WHERE name='{$name}'");

Like语句中的注入

like查询时，如果用户输入的值有”_”和”%”，则会出现这种情况：用户本来只是想查询”abcd_”，查询结果中却有”abcd_”、”abcde”、”abcdf”等等；用户要查询”30%”（注：百分之三十）时也会出现问题。

在PHP脚本中我们可以使用addcslashes()函数来处理以上情况，如下实例：

$sub = addcslashes(mysqli_real_escape_string($conn, "%something_"), "%_");
// $sub == \%something\_
 mysqli_query($conn, "SELECT * FROM messages WHERE subject LIKE '{$sub}%'");

addcslashes() 函数在指定的字符前添加反斜杠。

语法格式:

addcslashes(string,characters)

参数描述
string必需。规定要检查的字符串。
characters可选。规定受 addcslashes() 影响的字符或字符范围。

防范手段

1、参数检查
对于用户输入传入的参数，做严格的检查。该检查既包括类型检查，也包括参数的范围检查。

比如如果要求是数值型参数，那就要判断数值是否为数值型，如果不是那就拒绝。

对于一些参数格式或者范围固定的参数，可以做严格的检验，比如邮箱格式、手机号格式、年龄范围等。如果不是期望让用户有足够的放飞自由度，那就可以做严格的检查来排除SQL注入的可能。

2、特殊字符转义
不是所有业务场景都有严格的参数格式或范围要求，那此时总不能不允许用户将一些特殊的字符作为参数传输，比如你不能禁止用户将“1=1”作为用户名。

如果接收的参数类型为字符型，此时就要考虑对一些特殊字符做转义处理：单引号、双引号、反斜杠、回车换行等，将这些字符转义后，可以使其不被当成SQL语句的一部分，而只是纯粹的参数处理，比如上面示例中要做到避开密码识别，就需要在传入的用户名中包含单引号来结束对用户名参数的识别。此时如果能将该单引号转义不当做单引号处理，那么整体会被当做参数，从而就避免了注入。

Mysql本身提供了一个mysql_real_escape_string()函数来对特殊字符做转义。一般的Mysql库函数应该都提供基于它的上层函数来处理你的字符型参数，建议好好利用。但要注意只对参数本身做转义，而不要整个语句一起转义了。

3、预编译实现参数化查询
使用特殊字符转义可以有效避免大多数注入情况，但并不是全部，总会存在一些特殊的情况照顾不到。预编译（Prepared Statement）就是一个更加完善且一劳永逸的方法。

使用预编译实际上是把SQL语句的组装分为了两部分，原本的除参数外的结构部分会事先编译好，传入的参数只能当做参数来处理，不会被当做语句的一部分来对待。这就从根源上避免了SQL注入。

比如上面例子中，username字段不管怎么输入，就算是“cloudox’ AND 1=1– ”，也一定被当成参数来处理，不会影响到查询语句的结构，即不会注释掉后续部分，整个输入内容会被当做整体的用户名来处理。

目前大部分语言都提供了预编译的支持，比如Java的PreparedStatement()、PHP的prepare()和bind_param()、Python的支持等。C++本身没有提供预编译函数，但Mysql库有提供：Using Prepared Statements。

使用预编译是目前最佳的防注入方式了。

4、DB账户权限隔离
在防范的同时，也要做最坏的准备，万一那个地方真的有漏洞被注入了，尽量细粒度化DB账户的权限，各业务的账号只能接触各业务库表，根据业务场景做读写分离等。都能在已经发生注入的情况下尽量减少损失。

此外，最好准备一套漏洞扫描策略，对业务接口做漏洞扫描，确保万无一失。

Mysql 教程

相关