PHP 웹 사이트의 보안 전략 : SQL 인젝션, XSS 공격 및 2 차 SQL 인젝션

Question

저는 웹 보안 분야의 전문가이며 이틀 동안 연구하고 있습니다. OWSAP에 따르면 SQL 인젝션과 XSS 공격은 인터넷을 통해 가장 많이 발생하며 최소에서는 모든 프로그래머가 처리해야합니다.

그래서 내가 그들에게 (만약 내가 잘못 당신이 그것을 수정하거나 추가 요청) 따르고 보호하기 위해 이해 무엇 :

Use PDO and prepared statements to prevent SQL Injection

PDO와 준비가 문을 방지하기에 충분하다 (일차) SQL 인젝션 (Injection)을 지원하므로 드라이버가이를 처리 할 때 입력 데이터를 이스케이프 처리 할 필요가 없습니다.

하지만이는 원시 데이터를 저장하고 방지하기 위해이 날을 만들면서 ' OR '1'=' 같은 데이터가 PDO와 준비된 문을 통과 한 후 데이터베이스에 저장받을 수 있습니다 2 차 SQL 주입 (see this for more)하는 경향이 당신을 이끌 수 있습니다 오히려 먼저 문자열을 탈출 느낄 따라서

use $pdo->quote($string) before passing it to prepared statement for storage

그러나 나는 또한 XSS 공격에 대한 보호 기능을 원하기 때문에 내가 (최소 경우 또는 htmlspecialchars())뿐만 아니라 htmlentities()를 사용한다 .I이 출력에서이 작업을 수행해야하지만 에서 사용하는 것을 선호 할 수 있습니다. 내 출력은 HTML의 대상이되는 경우

을 ouputting 동안 입력 측에만

요약하면, 내 단계는 단순히 데이터베이스에서 저장된 필드를 에코

$string ='raw input from user'; 
$escaped_string=$pdo->quote(htmlentities($string)); 
$pdo->execute('query to store $escaped_string into the database'); 

될 것이다.

내 접근 방식이 안전한지 여부를 알고 싶습니다.

Answer 1

코드가 2 차 공격에 노출되어있는 경우 준비된 쿼리를 올바르게 사용하지 않고 수행중인 작업을 근본적으로 이해하지 못합니다.

쿼리에서 데이터를 이스케이프 처리하는 것은 명령에서 데이터의 모호성을 제거하는 것입니다. 쿼리에서 매개 변수를 사용하는 것은 명령에서 데이터를 근본적으로 분리하는 것입니다. 이 두 가지 모두 데이터가 데이터베이스에 저장되는 방법과는 전혀 관련이 없습니다.

모든 쿼리에는 사용자가 임의의 데이터에 사용되는 매개 변수를 사용해야합니다. 이 작업을 수행하지 않으면 보호 기능이 전혀 없으며 의심 할 바없이 응용 프로그램에 오류가 발생할 수 있습니다. 항상은 자신의 데이터베이스에서 가져온 경우에도 임의의 데이터에 대해 매개 변수가있는 쿼리를 사용합니다 (실제로 이러한 매개 변수를 사용합니다). 누가 데이터의 출처를 예측할 수없는 경우 쿼리에서 직접 사용할 수 없다는 것을 알고 있습니다.

XSS 공격의 경우 HTML 페이지를 출력하는 경우 HTML 컨텍스트에서 사용할 수 있도록 데이터를 올바르게 이스케이프 처리하여 일부를 막을 수 있습니다. 이렇게하면 텍스트가 보존되는 HTML 컨텍스트에서 임의의 문자열을 사용할 수 있습니다. 이것은 HTML 용 데이터를 이스케이프합니다. 즉, 텍스트가 HTML 태그로 구문 분석되지 않습니다. 이전에는 출력에서 ​​이스케이프를 수행하면 안되며 데이터를 조기에 조종하여 다른 목적으로는 사용할 수 없게 만듭니다.

Answer 2

사용자의 원시 입력을 피할 수없는 경우 사용자로부터 원시 입력을받지 못하는 경우 표준 절차입니다.예 :

이러한 유형의 저장 프로 시저를 사용하는 것이 가장 좋습니다.

<?php 
    if(isset($_POST['submit'])) { 
     if($_GET['sort'] == 'alphad') { 
      $sort = 'alphad'; //not = $_GET['sort'] 
      //Your query 
     } 
    } 
?> 

Answer 3

그러나 이것은 2 차 SQL 주입

이 할 수있다, 실제로,하지에 당신이 경향이 발생할 수 있습니다. "2 차 SQL 주입"과 같은 것은 없습니다. SQL 인젝션 만 있습니다. 이를 막으려면 매개 변수화 된 쿼리를 사용해야합니다. 저것과 같이 쉬운. 즉 것은 원시 만들기 - 명시 적으로 말했다 경우 템플릿는 기본적으로 어떤 값을 탈출 HTML을, 또는 어떤 다른 서식을 적용 할 수 있도록 ouputting 동안

는 단계

$string ='whatever string'; 
$pdo->prepare('any query that uses ? placeholder for any data'); 
$pdo->execute([$string]); 

될 것이라고 요약하자면, html 형식의 텍스트.