MySQL 및 SQL 주입

MySQL과 SQL 인젝션

웹 페이지를 통해 사용자가 입력한 데이터를 가져와서 MySQL 데이터베이스에 삽입하면, 그러면 SQL 주입 보안 문제가 발생할 수 있습니다.

이 장에서는 SQL 삽입을 방지하는 방법과 스크립트를 사용하여 SQL에 삽입된 문자를 필터링하는 방법을 소개합니다.

소위 SQL 인젝션은 웹 양식 제출에 SQL 명령을 삽입하거나 페이지 요청에 대한 도메인 이름이나 쿼리 문자열을 입력하여 궁극적으로 서버를 속여 악성 SQL 명령을 실행하는 것입니다.

우리는 사용자가 입력한 데이터를 절대 신뢰해서는 안 됩니다. 우리 모두는 사용자가 입력한 데이터를 필터링해야 합니다.

다음 예에서 입력한 사용자 이름은 문자, 숫자, 밑줄의 조합이어야 하며, 사용자 이름 길이는 8~20자여야 합니다.

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches))
{
   $result = mysql_query("SELECT * FROM users 
                          WHERE username=$matches[0]");
}
 else 
{
   echo "username 输入异常";
}

// 设定$name 中插入了我们不需要的SQL语句
$name = "Qadir'; DELETE FROM users;";
mysql_query("SELECT * FROM users WHERE name='{$name}'");

PHP의 Mysql_query()는 다중 SQL 문 실행을 허용하지 않지만, SQLite와 PostgreSQL에서는 동시에 여러 SQL 문 실행이 가능하므로, 철저한 검증을 거쳐야 합니다.

SQL 주입을 방지하려면 다음 사항에 주의해야 합니다.

• 1. 절대 사용자 입력을 신뢰하지 마세요. 사용자 입력을 확인하려면 정규식을 사용하거나 작은따옴표 및 길이를 제한할 수 있습니다. 변환 등을 위해 "-"를 두 번 사용합니다.

• 2. SQL의 동적 어셈블리를 사용하지 마십시오. 데이터 쿼리 및 액세스를 위해 매개변수화된 SQL을 사용하거나 직접 저장 프로시저를 사용할 수 있습니다.

• 3. 절대 관리자 권한으로 데이터베이스 연결을 사용하지 마세요. 각 애플리케이션에 대해 제한된 권한이 있는 별도의 데이터베이스 연결을 사용하세요.

• 4. 기밀 정보를 직접 저장하지 말고, 비밀번호와 민감한 정보를 암호화하거나 해싱하지 마세요.

• 5. 애플리케이션의 예외 정보는 가능한 한 적은 힌트를 제공해야 합니다. 사용자 정의 오류 정보를 사용하여 원래 오류 메시지를 래핑하는 것이 가장 좋습니다.

• 6. SQL 주입 탐지 방법은 일반적으로 보조 소프트웨어 또는 웹사이트 플랫폼을 사용하여 탐지합니다. 소프트웨어는 일반적으로 SQL 주입 탐지 도구인 jsky를 사용하며 웹사이트 플랫폼에는 Yisi 웹사이트 보안 플랫폼 탐지 도구가 있습니다. MDCSOFT SCAN 등 MDCSOFT-IPS를 사용하면 SQL 주입, XSS 공격 등을 효과적으로 방어할 수 있습니다.

SQL 주입 방지

Perl 및 PHP와 같은 스크립트 언어에서는 사용자가 입력한 데이터를 이스케이프 처리하여 SQL 주입을 방지할 수 있습니다.

PHP의 MySQL 확장은 특수 입력 문자를 이스케이프하는 mysql_real_escape_string() 함수를 제공합니다.

Like 문에 삽입

like를 쿼리할 때 사용자가 입력한 값에 "_", "%"가 포함되어 있으면 이런 상황이 발생합니다. 사용자가 원래 "abcd_"만 쿼리하려고 했을 뿐입니다. , 및 쿼리 결과 그러나 "abcd_", "abcde", "abcdf" 등은 사용자가 "30%"(참고: 30%)를 쿼리하려는 경우에도 발생합니다.

PHP 스크립트에서는 다음 예와 같이 addcslashes() 함수를 사용하여 위 상황을 처리할 수 있습니다.

if (get_magic_quotes_gpc()) 
{
  $name = stripslashes($name);
}
$name = mysql_real_escape_string($name);
mysql_query("SELECT * FROM users WHERE name='{$name}'")

문법 형식:

$sub = addcslashes(mysql_real_escape_string("%something_"), "%_");
// $sub == \%something\_
mysql_query("SELECT * FROM messages WHERE subject LIKE '{$sub}%'");

추천 관련 비디오 튜토리얼: mysql 튜토리얼