подготовленные операторы / параметризованные запросы обычно достаточны для предотвращения 1-го порядка инъекция на это заявление^*. Если вы используете непроверенный динамический sql в любом другом месте вашего приложения, вы все еще уязвимы для 2-го порядка укол.

инъекция 2-го порядка означает, что данные были циклически обработаны через базу данных один раз, прежде чем быть включенными в запрос, и их гораздо сложнее снять. АФАИК, ты почти никогда не видишь настоящего инженера Атаки 2-го порядка, как правило, легче для атакующих социальных инженеров, но иногда у вас возникают ошибки 2-го порядка из-за дополнительного доброкачественного ' символы или подобные.

вы можете выполнить атаку инъекции 2-го порядка, когда вы можете заставить значение храниться в базе данных, которая позже используется в качестве литерала в запросе. В качестве примера предположим, что вы вводите следующую информацию в качестве нового имени пользователя при создании учетной записи на веб-сайте (предполагая, что MySQL DB для этот вопрос):

' + (SELECT UserName + '_' + Password FROM Users LIMIT 1) + '

Если нет других ограничений на имя пользователя, подготовленный оператор будет по-прежнему убедиться, что выше встроенный запрос не выполняется во время вставки, и сохранить значение правильно в базе данных. Однако представьте, что позже приложение извлекает ваше имя пользователя из базы данных и использует конкатенацию строк для включения этого значения в новый запрос. Вы можете увидеть чей-то пароль. Поскольку первые несколько имен в таблице пользователей имеют тенденцию чтобы быть администраторами, вы, возможно, также просто отдали ферму. (Также обратите внимание: это еще одна причина не хранить пароли в обычном тексте!)

мы видим, что подготовленных операторов достаточно для одного запроса, но сами по себе они не достаточно для защиты от атак SQL-инъекций во всем приложении, поскольку у них нет механизма для обеспечения того, чтобы весь доступ к базе данных в приложении использовал безопасный код. Однако, использованный как часть хорошего проектирование приложений-которое может включать такие методы, как просмотр кода или статический анализ, или использование ORM, уровня данных или уровня сервиса, который ограничивает динамический sql - подготовленные заявления are основной инструмент для решения проблемы инъекции Sql. если вы следуете хорошим принципам проектирования приложений, таким образом, что ваш доступ к данным отделен от остальной части вашей программы, становится легко применять или проверять, что каждый запрос правильно использует параметризацию. В этом случае SQL-инъекция (как первого, так и второго порядка) полностью предотвращается.

---

_{^*оказывается, что MySql/PHP (хорошо, были) просто тупы в обработке параметров, когда задействованы широкие символы, и все еще есть редкая дело изложено в другой высоко-проголосовали ответ здесь это может позволить инъекции проскользнуть через параметризованный запрос.}

нет, они не всегда.

это зависит от того, позволяете ли вы пользователю вводить данные в сам запрос. Например:

$dbh = new PDO("blahblah");

$tableToUse = $_GET['userTable'];

$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );

был бы уязвим для SQL-инъекций и использование подготовленных операторов в этом примере не будет работать, потому что пользовательский ввод используется как идентификатор, а не как данные. Правильным ответом здесь было бы использовать какую-то фильтрацию/проверку, например:

$dbh = new PDO("blahblah");

$tableToUse = $_GET['userTable'];
$allowedTables = array('users','admins','moderators');
if (!in_array($tableToUse,$allowedTables))    
 $tableToUse = 'users';

$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );

Примечание: Вы не можете использовать PDO для привязки данных, которые выходят за пределы DDL (Язык определения данных), т. е. это не работает:

$stmt = $dbh->prepare('SELECT * FROM foo ORDER BY :userSuppliedData');

причина, почему выше не работает, потому что DESC и ASC не сведения. PDO может убежать только для сведения. Во-вторых, вы даже не можете поставить ' кавычки. Единственный способ разрешить выбранную пользователем сортировку-вручную отфильтровать и проверить, что это либо DESC или ASC.

Да, достаточно. Способ, которым работают атаки типа инъекции, заключается в том, чтобы каким-то образом получить интерпретатор (базу данных) для оценки чего-то, что должно было быть данными, как если бы это был код. Это возможно только в том случае, если вы смешиваете код и данные на одном носителе (например. при построении запроса в виде строки).

параметризованные запросы работают, отправляя код и данные отдельно, так что это будет никогда можно найти дыру в этом.

вы все еще может быть однако уязвим для других атак типа инъекций. Например, если вы используете данные в HTML-странице, вы можете подвергнуться атакам типа XSS.

нет этого недостаточно (в некоторых конкретных случаях)! По умолчанию PDO использует эмулированные подготовленные операторы при использовании MySQL в качестве драйвера базы данных. Вы всегда должны отключать эмулированные подготовленные операторы при использовании MySQL и PDO:

$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

еще одна вещь, которую всегда нужно делать это установить правильную кодировку базы данных:

$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

Также см. Этот вопрос: как я могу предотвратить SQL-инъекций в PHP?

Также обратите внимание, что это только речь идет о стороне базы данных вещей, которые вам все равно придется наблюдать за собой при отображении данных. Например, с помощью htmlspecialchars() снова с правильной кодировкой и цитирование стиля.

лично я бы всегда запускал некоторую форму санитарии на данных сначала, поскольку вы никогда не можете доверять вводу пользователя, однако при использовании заполнителей / привязки параметров введенные данные отправляются на сервер отдельно в инструкцию sql, а затем связываются вместе. Ключ здесь заключается в том, что это связывает предоставленные данные с определенным типом и конкретным использованием и исключает любую возможность изменить логику инструкции SQL.

Eaven если вы собираетесь предотвратить SQL injection front-end, используя проверки html или js, вам нужно будет учитывать, что проверки переднего плана "обходимы".

вы можете отключить js или редактировать шаблон с помощью интерфейсного инструмента разработки (встроенного в firefox или chrome в настоящее время).

таким образом, чтобы предотвратить инъекцию SQL, было бы правильно санировать дату ввода бэкэнд внутри вашего контроллера.

Я хотел бы предложить вам использовать filter_input () родной PHP функция для того, чтобы санировать получить и входные значения.

Если вы хотите продолжить работу с безопасностью, для разумных запросов к базе данных я хотел бы предложить вам использовать регулярное выражение для проверки формата данных. функция preg_match() поможет вам в этом деле! Но будьте осторожны! Регулярное выражение двигателя не так легко. Используйте его только в случае необходимости, иначе производительность вашего приложения снизится.

безопасность имеет затраты, но не тратьте впустую свою производительность!

легко пример:

Если вы хотите дважды проверить, является ли значение, полученное из GET числом, меньше 99 если(!preg_match('/[0-9]{1,2}/')){...} это тяжелее

if (isset($value) && intval($value)) <99) {...}

Итак, окончательный ответ: "Нет! Подготовленные операторы PDO не предотвращают все виды SQL-инъекций"; это не предотвращает неожиданные значения, просто неожиданную конкатенацию