美学原理[转]PDO防注入原理分析与使用PDO的注意事项

原文:http://zhangxugg-163-com.iteye.com/blog/1835721

哼文章不得不改成。

俺们且懂得,只要合理正确行使PDO,可以基本上防止SQL注入的产生,本文主要应以下简单个问题:

怎么要使用PDO而无是mysql_connect?

怎PDO能防注入?

利用PDO防注入的当儿应该特别注意什么?

 

平、为何设先期利用PDO?

PHP手册上说得够呛亮:

Prepared statements and stored procedures
Many of the more mature databases support the concept of prepared
statements. What are they? They can be thought of as a kind of
compiled template for the SQL that an application wants to run, that
can be customized using variable parameters. Prepared statements offer
two major benefits: 

The query only needs to be parsed (or prepared) once, but can be
executed multiple times with the same or different parameters. When
the query is prepared, the database will analyze, compile and optimize
its plan for executing the query. For complex queries this process can
take up enough time that it will noticeably slow down an application
if there is a need to repeat the same query many times with different
parameters. By using a prepared statement the application avoids
repeating the analyze/compile/optimize cycle. This means that prepared
statements use fewer resources and thus run faster.

 

The parameters to prepared statements don’t need to be quoted; the
driver automatically handles this. If an application exclusively uses
prepared statements, the developer can be sure that no SQL injection
will occur(however, if other portions of the query are being built up
with unescaped input, SQL injection is still possible).

 

不怕采用PDO的prepare方式,主要是加强相同SQL模板查询性能、阻止SQL注入

与此同时,PHP手册中给有了警戒信息

Prior to PHP 5.3.6, this element was silently ignored. The same behaviour can be partly replicated with the PDO::MYSQL_ATTR_INIT_COMMAND driver option, as the following example shows.
Warning

The method in the below example can only be used with character sets that share the same lower 7 bit representation as ASCII, such as ISO-8859-1 and UTF-8. Users using character sets that have different representations (such as UTF-16 or Big5) must use the charset option provided in PHP 5.3.6 and later versions.

 

意是说,在PHP
5.3.6及以前版本中,并无支持以DSN中的charset定义,而该用PDO::MYSQL_ATTR_INIT_COMMAND设置初始SQL, 即我们常用的 set names gbk指令。

 

自我看到局部主次,还于品味以addslashes达到防止注入的目的,殊不知这样实在问题再次多,
详情请圈http://www.lorui.com/addslashes-mysql\_escape\_string-mysql\_real\_eascape\_string.html

还有一对做法:在执行数据库查询前,将SQL中的select, union,
….之类的要词清理掉。这种做法显是充分荒唐的处理方式,如果提交的正文中确确实实含有
the students’s union , 替换后以篡改本来的内容,滥杀无辜,不可取。

 

二、为何PDO能防SQL注入?
恳请先押之下PHP代码:

<?php

$pdo = new PDO(“mysql:host=192.168.0.1;dbname=test;charset=utf8″,”root”);

$st = $pdo->prepare(“select * from info where id =? and name = ?”);

 

$id = 21;

$name = ‘zhangsan’;

$st->bindParam(1,$id);

$st->bindParam(2,$name);

 

$st->execute();

$st->fetchAll();

?>

 

环境如下:

PHP 5.4.7

Mysql 协议版本 10

MySQL Server 5.5.27

 

以干净为懂php与mysql server通讯的细节,我特别利用了wireshark抓包进行研讨之,安装wireshak之后,我们设置过滤条件为tcp.port==3306, 如下图:
美学原理 1
 

 

 

 

然就展示与mysql 3306端口的通信数据,避免不必要的搅和。

专程而留意的凡wireshak基于wincap驱动,不支持地方环回接口的侦听(即以php连接本地mysql的不二法门是心有余而力不足侦听的),请连接其他机器(桥接网络的虚拟机也只是)的MySQL进行测试。

 

然后运行我们的PHP程序,侦听结果如下,我们发现,PHP只是简短地以SQL直接发送给MySQL Server :

 

美学原理 2

 

 

 

实则,这同我们平常动mysql_real_escape_string将字符串进行转义,再并入接成SQL语句没有距离(只是由于PDO本地驱动完成转义的),显然这种景象下还是发生或导致SQL注入的,也就是说在php本地调用pdo prepare中之mysql_real_escape_string来操作query,使用的是当地单字节字符集,而我们传递多配节编码的变量时,有或还是碰头导致SQL注入漏洞(php 5.3.6以前版本的题材之一,这吗便说明了为何在动PDO时,建议升级至php 5.3.6+,并在DSN字符串中指定charset的故。

 

对php 5.3.6先版本,以下代码仍然可能致SQL注入问题:

$pdo->query(‘SET NAMES GBK’); 

$var = chr(0xbf) . chr(0x27) . ” OR 1=1 /*”; 

$query = “SELECT * FROM info WHERE name = ?”; 

$stmt = $pdo->prepare($query); 

$stmt->execute(array($var)); 

 

由来和地方的分析是一致的。

 

假设科学的转义应该是叫mysql Server指定字符集,并拿变量发送给MySQL Server完成因字符转义。

 

那么,如何才能够禁止PHP本地转义而至由MySQL Server转义呢?

PDO有一致件参数,名也PDO::ATTR_EMULATE_PREPARES ,表示是否以PHP本地模拟prepare,此桩参数默认值未知。而且根据我们刚抓包分析结果来拘禁,php 5.3.6+默认还是采用当地变量转,拼接成SQL发送给MySQL Server的,我们拿即时项值设置也false, 试试效果,如以下代码:

<?php

$pdo = new PDO(“mysql:host=192.168.0.1;dbname=test;”,”root”);

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

 

$st = $pdo->prepare(“select * from info where id =? and name = ?”);

$id = 21;

$name = ‘zhangsan’;

 

$st->bindParam(1,$id);

$st->bindParam(2,$name);

$st->execute();

$st->fetchAll();

?>

 

赤行是咱刚刚投入的情节,运行以下顺序,使用wireshark抓包分析,得出的结果如下:
美学原理 3
 

美学原理 4
 

 

观了啊?这就算是神奇之处在,可见这次PHP是拿SQL模板与变量是劈点儿次发送给MySQL的,由MySQL完成变量的转义处理,既然变量和SQL模板是劈点儿浅发送的,那么即使无在SQL注入的题目了,但需以DSN中指定charset属性,如:

$pdo = new PDO(‘mysql:host=localhost;dbname=test;charset=utf8’, ‘root’);

 

这般,即可从根本上杜绝SQL注入的问题。如果您对这不是蛮懂,可以发邮件及zhangxugg@163.com, 一起探索。

 

老三、使用PDO的注意事项

知情以上几乎沾之后,我们即便足以总结下PDO杜绝SQL注入的几只注意事项:

1.  php升级至5.3.6+,生产条件强烈建议升级到php 5.3.9+ php
5.4+,php 5.3.8是致命之hash碰撞漏洞。

 

  1. 若使用php 5.3.6+, 请在在PDO的DSN中指定charset属性

  2. 假设下了PHP
    5.3.6及以前版本,设置PDO::ATTR_EMULATE_PREPARES参数为false(即由于MySQL进行变量处理),php
    5.3.6之上版本就处理了之问题,无论是以当地模拟prepare还是调用mysql
    server的prepare均只是。在DSN中指定charset是低效的,同时set names
    <charset>的执行是必不可少的。

 

4. 假设利用了PHP 5.3.6跟以前版本,
因Yii框架默认并未安装ATTR_EMULATE_PREPARES的价,请以数据库配置文件被指定emulatePrepare的值吗false。

 

那,有个问题,如果以DSN中指定了charset, 是否还欲实施set names
<charset>呢?

是,不能够看。set names <charset>其实生一定量独作用:

A.  告诉mysql server, 客户端(PHP程序)提交给它的编码是啊

B.  告诉mysql server, 客户端需要的结果的编码是什么

也就是说,如果数据表使用gbk字符集,而PHP程序行使UTF-8编码,我们在实行查询前运行set
names utf8, 告诉mysql
server正确编码即可,无须在次中编码转换。这样咱们盖utf-8编码提交查询到mysql
server,
得到的结果吧会是utf-8编码。省却了序中的转换编码问题,不要闹疑难,这样做不见面起乱码。

 

那当DSN中指定charset的来意是呀? 只是喻PDO,
本地驱动转义时行使指定的字符集(并无是设定mysql
server通信字符集),设置mysql server通信字符集,还得使用set names
<charset>指令。

 

假设图片丢失,可以发邮件及zhangxugg@163.com, 索取PDF版本。

 

自我的确想不通,一些初的类型,为何无下PDO而使用传统的mysql_XXX函数库呢?如果是行使PDO,可以从根本上杜绝SQL注入,我强烈建议各个企业之技艺官员、一线技术研发人员,要针对这个题目引注重,尽可能用PDO加快项目进度及安质量。

 

永不还品尝自己编辑SQL注入过滤函数库了(又麻烦而十分爱发生未知的尾巴)。