SQL 인젝션 -이 (oneliner)가 안전합니까?

Question

PHP :

 
$SQL = "SELECT goodies FROM stash WHERE secret='" . 
    str_replace("'",'',$_POST['secret']) . 
"'"; 

이 사악한 천재 해커가 내 SELECT에 SQL을 주입 할 수 - 어떻게?

Answer 1

나는 잠시 동안 이것에 대해 생각을 했어 내가이 문으로 SQL을 주입 할 수있는 방법을 볼 수 없습니다.

작은 따옴표로 시작하는 SQL 문자열은 백 슬래시 또는 다른 따옴표 (\' 또는 '')로 이스케이프하지 않는 한 다음 작은 따옴표에서 종료됩니다. 모든 작은 따옴표를 제거하기 때문에 두 배로 된 따옴표를 사용할 수 없습니다. 닫는 인용문에서 벗어나면 오류는 발생하지만 SQL 삽입은 발생하지 않습니다. 입력에서

• 작은 따옴표는 무시됩니다

  그러나이 방법은 단점을 가지고 있습니다.

• 입력의 백 슬래시가 올바르게 처리되지 않습니다. 이스케이프 코드로 처리됩니다.
• 마지막 문자가 백 슬래시 인 경우 오류가 발생합니다.
• 두 번째 매개 변수를 추가하기 위해 쿼리를 나중에 확장하면 은이되어 SQL 주입 공격을 허용합니다. 초래 매개 변수 \ 및 OR 1 = 1 -- 호출

  $SQL = "SELECT goodies FROM stash WHERE secret='" . 
      str_replace("'",'',$_POST['secret']) . 
  "' AND secret2 = '" . 
      str_replace("'",'',$_POST['secret2']) . 
  "'"; 
  

  :

  SELECT goodies FROM stash WHERE secret='...' OR 1 = 1 
  

  :

  SELECT goodies FROM stash WHERE secret='\' AND secret2=' OR 1 = 1 -- ' 
  

  MySQL은이 같은으로 볼 것입니다 예를 들어

그것이 불가능하더라도 이 경우에 주입을 일으킬 수있는 단점은 이것을 SQL 삽입을 피하기위한 일반적인 목적에 부적합하게 만든다.

이미 지적했듯이 해결책은 준비된 진술을 사용하는 것입니다. 이것은 SQL 주입 공격을 막는 가장 확실한 방법입니다.

Answer 2

mysql_real_escape_string() 또는 더 잘 준비된 명령문을 사용하지 않는 이유는 무엇입니까? 당신의 솔루션은 어리석은 것처럼 보입니다.

Answer 3

mysql_escape_string을 사용하지 않는 이유는 무엇입니까? 그리고 예, 그는 ' 대신 "을 추가하고 더하기,이 쿼리는 오류를 줄 것입니다.

Answer 4

일 수 있습니다. 가장 좋은 방법은 다음과 같습니다

$query = sprintf("SELECT goodies FROM stash WHERE secret='%s'", 
addcslashes(mysql_real_escape_string($_POST['secret']),'%_'));