PHP 5.3.6及以前版本的PDO的bindParam,bindValue潜在的安全隐患
使用PDO的参数化查询时,可以使用bindParam,bindValue为占位符绑定相应的参数或变量, 我们往往使用如下格式:
$statement->bindParam(1, $string);
$statement->bindParam(2, $int, PDO::PARAM_INT);
我在以前的文章中分析介绍过PDO的ATTR_EMULATE_PREPARES属性对PDO底层协议与MySQL Server通讯机制影响:
1. 默认情况下,PDO会使用DSN中指定的字符集对输入参数进行本地转义(PHP手册中称为native prepared statements),然后拼接成完整的SQL语句,发送给MySQL Server。这有些像我们平时程序中拼接变量到SQL再执行查询的形式。
这种情况下,PDO驱动能否正确转义输入参数,是拦截SQL注入的关键。然而PHP 5.3.6及老版本,并不支持在DSN中定义charset属性(会忽略之),这时如果使用PDO的本地转义,仍然可能导致SQL注入,解决办法后面会提到。
2. MySQL Server 5.1开始支持prepare预编译SQL机制,即SQL查询语句与参数分离提交,但这个特性需要客户端协议支持支持,目前所有版本的PHP均支持。
如果PDO客户端使用mysql Server的prepare功能,大致的交互过程是:
A. PDO将SQL模板发送给mysql server, SQL模板即包含参数占位符(问号或命名参数)的SQL语句
B. PDO不对输入参数作任何转义处理,将参数的位置,值,类型等等信息发送给MySQL Server
C. PDO客户端调用execute statement
D. MySQL Server 对B步骤提交的参数进行内部转义,并执行查询,返回结果给客户端。
看到没有,如果使用了mysql server prepare功能,则字符串的转义是由MySQL Server完成的。mysql会根据字符集(set names <charset>)对输入参数转换,确保没有注入产生。
PDO默认情况下使用了本地模拟prepare(并未使用MySQL server的prepare),如果要禁止PDO本地模拟行为而使用MySQL Server的prepare机制,则需要设置PDO的参数:
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false);
如果你使用了PHP 5.3.6及以前版本,强烈推荐使用上述语句加强安全性。
如果你使用PHP 5.3.6+, 则请在DSN中指定 charset,是否设置上述参数,都是安全的。
好了,现在步入正题,假设有以下代码逻辑:
$pdo = new PDO("mysql:host=localhost;dbname=test;charset=utf8",'root','');
$pdo->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
$pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE,PDO::FETCH_ASSOC);
$pdo->exec('set names utf8');
$id = '0 or 1 =1 order by id desc';
$sql = "select * from article where id = ?";
$statement = $pdo->prepare($sql);
$statement->bindParam(1, $id, PDO::PARAM_INT);
$statement->execute();
假设$id是外部变量(由其它函数传递,或用户提交),我们也没有使用intval对这两个参数进行强制类型转换(我们认为使用PDO绑定参数时已经指定参数类型为INT, 即PDO::PARAM_INT),期待PDO能使用我们指定的类型对其进行转义,但是事实上呢?却有太多不确定因素:
1. 以上代码实测在PHP 5.2.1造成了SQL注入
2. 以上代码在PHP 5.3.9下,没有造成任何SQL注入
那么,如果使用了存在bug的PHP版本,那么如何从根本上解决这个问题?
1. 设置PDO不使用本地模拟prepare, 即 $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES,false);
这样,即使不使用intval对输入进行转换,也可以确保是安全的。如果由于程序员遗忘没有使用intval转换,那么还是存在安全隐患的。
使用这种方式,更彻底,更安全。
相关推荐
php5.3.6 window压缩版 php5.3.6 window压缩版
php-5.3.6 安装包,不知道有没有用
php-5.3.6-Win32-VC6-x86.zip PHP的最新版本
php 5.3.6 x64 64位 PHP X64 64位
php_redis.dll 版本:2.1.3,支持php5.3.6
php-5.3.6-nts-Win32-VC9-x64.zip
PHP X86好难找,给有需要的朋友,资源共享。
php_redis.dll for php 5.3.6
centos5.5(5.6)最新lnmp安装步骤(php5.3.6+ng1.0.0+mysql5.5.12)
php5.3.6+apache2.2 环境安装
hibernate-release的5.0.7版本和最新的5.3.6版本,5.0.6版本方便你们学习,最新版5.3.6方便你们使用,懂你们吧~
最新的php安装php-5.3.6-Win32-VC9-x86.part6
IE浏览器离线加载Unity模型,同时需要注意的是,这是离线版本,webplayer版本号为5.3.6切记!切记!有使用说明
apache2.2.19和php5.3.6配置
正式版需要PHP5.6及以上版本支持 ,MySQL5.0以上版本支持 推荐使用客客官方提供的集成开发套件(KKServ集成安装包 )以达到最佳使用性能。 Linux/Unix 平台 正式版需要PHP5.6及以上版本支持 ,MySQL5.0以上版本...
这个是hue-3.7.0-cdh5.3.6版本压缩包.
mysql ODBC 5.3.6 64位
php-5.3.6 适合windows7 32位
包含hibernate框架的所有包,版本为5.3.6,直接解压可用。
速度Windows7下Apache+PHP5.3.6_安装配置.txtWindows7下Apache+PHP5.3.6_安装配置.txt