MySQL, SQL 주입 및 방지 방법에 대한 자세한 소개

이 글에서는 주로 MySQL과 SQL의 인젝션과 예방 방법을 자세하게 소개하고 있습니다. 아주 좋은 참고값이 있습니다. 필요하시면 참고하시면 됩니다

소위 SQL 인젝션은 웹 양식 제출에 SQL 명령을 삽입하거나 도메인 이름이나 페이지 요청에 대한 쿼리 문자열을 입력하는 것입니다. 궁극적으로 서버를 속여 악성 SQL 명령을 실행하게 합니다.

우리는 사용자 입력을 절대 믿어서는 안 됩니다. 우리는 사용자가 입력한 데이터가 안전하지 않다고 판단해야 합니다.

​1. 다음 예에서 입력하는 사용자 이름은 문자, 숫자, 밑줄의 조합이어야 하며, 사용자 이름 길이는 8~20자여야 합니다:

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches))
{
 $result = mysql_query("SELECT * FROM users 
       WHERE username=$matches[0]");
}
 else
{
 echo "username 输入异常";
}

특수 문자가 필터링되지 않은 경우 발생하는 SQL 상황을 살펴보겠습니다:

// 设定$name 中插入了我们不需要的SQL语句
$name = "Qadir'; DELETE FROM users;";
mysql_query("SELECT * FROM users WHERE name='{$name}'");

위의 주입 문에서는 $name 변수를 필터링하지 않았습니다. $name에 불필요한 SQL 문이 삽입되어 사용자 테이블의 모든 데이터가 삭제됩니다.

2. PHP의 Mysql_query()는 다중 SQL 문 실행을 허용하지 않지만, SQLite 및 PostgreSQL에서는 동시에 여러 SQL 문 실행이 가능하므로 이러한 사용자의 데이터를 엄격하게 검증해야 합니다.

SQL 주입을 방지하려면 다음 사항에 주의해야 합니다.

1. 사용자 입력을 절대 신뢰하지 마십시오. 사용자의 입력을 확인하려면 정규식을 사용하거나 작은따옴표와 큰따옴표 등을 변환하여 길이를 제한할 수 있습니다.
2. SQL의 동적 어셈블리를 사용하지 마십시오. 매개변수화된 SQL을 사용하거나 데이터 쿼리 및 액세스를 위해 저장 프로시저를 직접 사용할 수 있습니다.
3. 관리자 권한으로 데이터베이스 연결을 사용하지 마십시오. 각 응용 프로그램에 대해 제한된 권한을 가진 별도의 데이터베이스 연결을 사용하십시오.
4. 기밀 정보를 직접 저장하지 말고, 비밀번호와 민감한 정보를 암호화하거나 해시 처리하지 마십시오.
5. 애플리케이션의 예외 정보는 가능한 한 적은 힌트를 제공해야 합니다. 사용자 정의 오류 정보를 사용하여 원래 오류 정보를 래핑하는 것이 가장 좋습니다.
6. SQL 주입 탐지 방법은 일반적으로 보조 소프트웨어 또는 웹사이트 플랫폼을 사용하여 탐지합니다. 소프트웨어는 일반적으로 SQL 주입 탐지 도구인 jsky를 사용하며 웹사이트 플랫폼에는 Yisi 웹사이트 보안 플랫폼 탐지 도구가 있습니다. MDCSOFT SCAN 등 MDCSOFT-IPS를 사용하면 SQL 주입, XSS 공격 등을 효과적으로 방어할 수 있습니다.

​3. SQL 인젝션 방지

Perl 및 PHP와 같은 스크립팅 언어에서는 SQL 주입을 방지하기 위해 사용자가 입력한 데이터를 이스케이프할 수 있습니다.

PHP의 MySQL 확장은 특수 입력 문자를 이스케이프하는 mysql_real_escape_string() 함수를 제공합니다.

아아아아

​4.Like문에 삽입

위와 같이 쿼리할 때 사용자가 입력한 값에 "_", "%"가 포함되어 있으면 이런 상황이 발생합니다. 사용자가 원래 "abcd_"만 쿼리하려고 했으나 쿼리 결과에 "abcd_", "abcde"가 포함됩니다. , 및 "abcdf" 잠깐만요. 사용자가 "30%"(참고: 30%)를 쿼리하려는 경우에도 문제가 발생합니다.

PHP 스크립트에서는 다음 예와 같이 addcslashes() 함수를 사용하여 위 상황을 처리할 수 있습니다.

if (get_magic_quotes_gpc()) 
{
 $name = stripslashes($name);
}
$name = mysql_real_escape_string($name);
mysql_query("SELECT * FROM users WHERE name='{$name}'");

addcslashes() 함수는 지정된 문자 앞에 백슬래시를 추가합니다.

문법 형식:

$sub = addcslashes(mysql_real_escape_string("%something_"), "%_");
// $sub == \%something\_
mysql_query("SELECT * FROM messages WHERE subject LIKE '{$sub}%'");

매개변수 설명

​문자열 필수입니다. 확인할 문자열을 지정합니다.

문자는 선택사항입니다. addcslashes()의 영향을 받는 문자 또는 문자 범위를 지정합니다.

위 내용은 MySQL, SQL 주입 및 방지 방법에 대한 자세한 소개의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!