DB에 연결하지 않고 mysql_real_escape_string에 대한 대안

Question

DB 연결없이 건식 테스트를해야 할 때 데이터베이스에 연결하지 않고 mysql_real_escape_string으로 작동하는 기능을 원합니다. mysql_escape_string은 더 이상 사용되지 않으므로 바람직하지 않습니다. 내 연구 결과의 일부 :

http://www.gamedev.net/community/forums/topic.asp?topic_id=448909

http://w3schools.invisionzone.com/index.php?showtopic=20064

Answer 1

DB 연결없이 문자열을 안전하게 이스케이프하는 것은 불가능합니다. mysql_real_escape_string() 및 준비된 문은 적절한 문자 집합을 사용하여 문자열을 이스케이프 할 수 있도록 데이터베이스에 연결해야합니다. 그렇지 않으면 멀티 바이트 문자를 사용하여 SQL 주입 공격이 계속 가능합니다.

만 테스트 인 경우에, 당신은뿐만 아니라 mysql_escape_string()을 사용할 수 있습니다, 그것은 SQL 주입 공격에 대한 보증 100 %는 아니지만, 그것은 DB에 연결하지 않고 안전한 아무것도를 구축하는 것은 불가능하다.

Answer 2

음, mysql_real_escape_string 함수 참조 페이지에 따라 "는 mysql_real_escape_string()의 MySQL의 라이브러리에 다음과 같은 문자를 이스케이프 함수 인 mysql_real_escape_string 전화 : \의 x00부터 \ n \ R \ ', "및 \의 X1A."염두에두고

, 당신은 당신이 필요로 정확히 무엇을해야합니까 게시 번째 링크에 주어진 기능 :

function mres($value) 
{ 
    $search = array("\\", "\x00", "\n", "\r", "'", '"', "\x1a"); 
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z"); 

    return str_replace($search, $replace, $value); 
} 

Answer 3

다른 답변에 대한 직접적인 반대에서,이 다음 기능은 멀티 바이트 문자로도 안전합니다.

// replace any non-ascii character with its hex code. 
function escape($value) { 
    $return = ''; 
    for($i = 0; $i < strlen($value); ++$i) { 
     $char = $value[$i]; 
     $ord = ord($char); 
     if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126) 
      $return .= $char; 
     else 
      $return .= '\\x' . dechex($ord); 
    } 
    return $return; 
} 

내가 추가 연구에서 위의 코드는 작동하지 않습니다 왜 자신을 말해 줄 수있는 것보다 더 많은 지식이있는 사람 ...

Answer 4

를 바라고, 나는 발견했습니다

http://dev.mysql.com/doc/refman/5.1/en/news-5-1-11.html

보안 수정 :

다중 바이트 인코딩 처리에서 SQL 주입 보안 홀을 발견했습니다. 서버에 버그가있어 mysql_real_escape_string() C API 함수로 이스케이프 된 문자열을 잘못 파싱했습니다.

이 취약점은 Josh Berkus와 Tom Lane이 OSDB 컨소시엄의 프로젝트 간 보안 공동 작업의 일부로 발견하여보고했습니다. SQL 삽입에 대한 자세한 내용은 다음 텍스트를 참조하십시오.

토론. 멀티 바이트 인코딩 처리에서 SQL 주입 보안 구멍이 발견되었습니다. SQL 주입 보안 구멍은 사용자가 데이터베이스에 삽입 할 데이터를 제공 할 때 사용자가 서버가 실행할 데이터에 SQL 문을 삽입 할 수있는 상황을 포함 할 수 있습니다. 이 취약점과 관련하여 문자 집합 비 인식 이스케이프 (예 : PHP의 addslashes())를 사용하면 일부 멀티 바이트 문자 집합 (예 : SJIS, BIG5 및 GBK)에서 이스케이프를 무시할 수 있습니다. 결과적으로 addslashes()와 같은 함수는 SQL 주입 공격을 방지 할 수 없습니다. 이 문제를 서버 측에서 해결하는 것은 불가능합니다. 가장 좋은 해결책은 응용 프로그램이 mysql_real_escape_string()과 같은 함수가 제공하는 문자 집합 인식 이스케이프를 사용하는 것입니다.

그러나 MySQL 서버가 mysql_real_escape_string()의 출력을 구문 분석하는 방법에서 버그가 발견되었습니다.결과적으로 문자 집합 인식 함수 mysql_real_escape_string()이 사용 된 경우에도 SQL 삽입이 가능했습니다. 이 버그가 수정되었습니다.

해결 방법. mysql_real_escape_string() 구문 분석에서 버그 수정을 포함하지만 MySQL 5.0.1 이상을 실행하는 버전으로 MySQL을 업그레이드 할 수없는 경우 해결 방법으로 NO_BACKSLASH_ESCAPES SQL 모드를 사용할 수 있습니다. (이 모드는 MySQL 5.0.1에서 추가되었습니다.) NO_BACKSLASH_ESCAPES는 백 슬래시가 특수 문자로 간주되지 않는 SQL 표준 호환성 모드를 지원합니다. 결과는 쿼리가 실패하게됩니다.

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES'; 

이 SQL 모드도 될 수 있습니다

SET sql_mode='NO_BACKSLASH_ESCAPES'; 

또한 모든 클라이언트에 대해 전 세계적으로 모드를 설정할 수 있습니다

입력, 현재 연결에 대해 다음 SQL 문을이 모드를 설정하려면 --sql-mode = NO_BACKSLASH_ESCAPES 명령 줄 옵션을 사용하거나 서버 옵션 파일 (예 : 시스템에 따라 my.cnf 또는 my.ini)에서 sql-mode = NO_BACKSLASH_ESCAPES를 설정하여 서버가 시작될 때 자동으로 활성화됩니다. . (Bug # 8378, CVE-2006-2753)

버그 # 8303도 참조하십시오.