Sont PDO déclarations préparées à l'avance suffisante pour empêcher l'injection SQL?

La réponse courte est PAS, PDO prépare ne sera pas vous protéger de toutes les attaques par Injection SQL. Pour certains obscur bord-cas.

Je suis l'adaptation cette réponse parler de PDO...

La longue réponse n'est pas si facile. Il est basé sur une attaque montré ici.

L'Attaque

Donc, nous allons commencer par montrer l'attaque...

$pdo->query('SET NAMES gbk');
$var = "\xbf\x27 OR 1=1 /*";
$query = 'SELECT * FROM test WHERE name = ? LIMIT 1';
$stmt = $pdo->prepare($query);
$stmt->execute(array($var));

Dans certaines circonstances, qui sera de retour de plus de 1 ligne. Nous allons disséquer ce qui se passe ici:

1. De la sélection d'un Jeu de Caractères

   $pdo->query('SET NAMES gbk');

   Pour cette attaque fonctionne, nous avons besoin de l'encodage que le serveur attend la connexion à la fois pour encoder ' comme en ASCII, c'est à dire 0x27 et avoir certains caractères dont le dernier octet est un ASCII \ c'est à dire 0x5c. Comme il s'avère, il y a 5 de ces codages pris en charge dans MySQL 5.6 par défaut: big5, cp932, gb2312, gbk et sjis. Nous allons sélectionner gbk ici.

   Maintenant, il est très important de noter l'utilisation de SET NAMES ici. Cela définit le jeu de caractères SUR LE SERVEUR. Il y a une autre manière de faire, mais nous allons y arriver assez vite.

2. La Charge Utile

   La charge utile que nous allons utiliser pour cette injection commence avec la séquence d'octets 0xbf27. Dans gbk, c'est une séquence de caractères; dans latin1, c'est la chaîne ¿'. Notez que dans latin1 et gbk, 0x27 sur son propre est un littéral ' caractère.

   Nous avons choisi cette charge utile car, si nous avons appelé addslashes() sur elle, nous aimerions insérer un fichier ASCII \ c'est à dire 0x5c, avant la ' caractère. Donc nous avions le vent avec 0xbf5c27, qui en gbk est un deux séquence de caractères: 0xbf5c suivie par 0x27. Ou en d'autres termes, un valide caractère, suivi par un sans échappement '. Mais nous ne sommes pas à l'aide de addslashes(). Donc à la prochaine étape...

3. $stmt->execute()

   La chose importante à réaliser est ici que PDO par défaut ne PAS faire vrai déclarations préparées à l'avance. Il émule (pour MySQL). Par conséquent, PDO en interne construit la chaîne de requête, l'appelant mysql_real_escape_string() (MySQL C la fonction de l'API) sur chaque liés chaîne de valeur.

   L'API C appel à mysql_real_escape_string() diffère de addslashes() en ce qu'il sait de la connexion jeu de caractères. De sorte qu'il peut effectuer échapper correctement pour le jeu de caractères que le serveur attend. Toutefois, à ce stade, le client pense que nous sommes toujours à l'aide de latin1 pour le lien, parce que nous n'avons jamais dit le contraire. Nous avons dit que la serveur nous utilisons gbk, mais le client pense toujours que c'est latin1.

   Par conséquent, l'appel à mysql_real_escape_string() insère la barre oblique inverse, et nous avons un libre pendaison ' caractère de notre "échappé" contenu! En fait, si nous étions à regarder $var dans le gbk jeu de caractères, nous aimerions voir:

   縗' or 1=1 /*

   Qui est exactement ce que l'attaque nécessite.

4. La Requête

   Cette partie n'est qu'une formalité, mais voici le rendu de la requête:

   SELECT * FROM test WHERE name = '縗' OR 1=1 /*' LIMIT 1

Félicitations, vous venez de vous a attaqué avec succès un programme en utilisant PDO Préparées...

La Solution Simple

Maintenant, il est intéressant de noter que vous pouvez empêcher cela en désactivant émulé préparées:

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

Ce sera généralement entraîner une véritable déclaration préparée à l'avance (c'est à dire les données d'être envoyé dans un paquet distinct de la requête). Cependant, être conscient que PDO silencieusement de secours à l'émulation d'états que MySQL ne peut pas préparer de manière native: ceux qu'il peut sont répertorié dans le manuel, mais méfiez-vous de sélectionner la version du serveur).

Le Corriger Corriger

Le problème ici est que nous n'avons pas d'appel de l'API C de l' mysql_set_charset() au lieu de SET NAMES. Si nous le faisions, nous serions bien à condition que nous soyons à l'aide d'une base MySQL depuis 2006.

Si vous utilisez une version antérieure de MySQL version, puis une bug dans mysql_real_escape_string() signifie que la séquence de caractères tels que ceux de notre charge utile ont été traités comme de simples octets pour échapper à des fins même si le client avait été correctement informé de la connexion de l'encodage et donc, cette attaque serait encore réussir. Le bug a été corrigé dans MySQL 4.1.20, 5.0.22 et 5.1.11.

Mais le pire, c'est que PDO ne pas exposer l'API C pour mysql_set_charset() jusqu'à 5.3.6, de sorte que dans les versions antérieures, il ne peut pas empêcher cette attaque pour chaque commande!
Il est maintenant exposé comme un Paramètre DSN, qui devrait être utilisé au lieu de SET NAMES...

La Grâce Salvatrice

Comme nous l'avons dit au début, pour que cette attaque de travail de la connexion de base de données doivent être codées à l'aide d'un vulnérables jeu de caractères. utf8mb4 est pas vulnérables et qui, pourtant, peuvent soutenir chaque caractère Unicode: alors vous pourriez choisir d'utiliser à la place—mais il a seulement été disponible depuis MySQL 5.5.3. Une alternative est utf8, qui est aussi pas vulnérables et peut prendre en charge l'ensemble de l'Unicode Plan Multilingue De Base.

Alternativement, vous pouvez activer le NO_BACKSLASH_ESCAPES mode SQL, qui (entre autres choses) altère le fonctionnement de mysql_real_escape_string(). Avec ce mode activé, 0x27 sera remplacé par 0x2727 plutôt que 0x5c27 et ainsi échapper processus ne peut pas créer des caractères valides dans les vulnérables codages où ils n'existaient pas auparavant (c'est à dire 0xbf27 est encore 0xbf27 etc.)—donc le serveur sera toujours rejeter la chaîne comme non valide. Cependant, voir @eggyal réponse pour une vulnérabilité différente qui peuvent résulter de l'utilisation de ce mode SQL (mais pas avec PDO).

Sûr Exemples

Les exemples suivants sont en sécurité:

mysql_query('SET NAMES utf8');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

Parce que le serveur s'attend à utf8...

mysql_set_charset('gbk');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

Parce que nous avons correctement définir le jeu de caractères de sorte que le client et le serveur match.

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->query('SET NAMES gbk');
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

Parce que nous avons éteint émulé préparées.

$pdo = new PDO('mysql:host=localhost;dbname=testdb;charset=gbk', $user, $password);
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

Parce que nous avons définir le jeu de caractères correctement.

$mysqli->query('SET NAMES gbk');
$stmt = $mysqli->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$param = "\xbf\x27 OR 1=1 /*";
$stmt->bind_param('s', $param);
$stmt->execute();

Parce que MySQLi n'est vrai déclarations préparées à l'avance tout le temps.

L'Emballage Jusqu'À

Si vous:

• À utiliser les Versions de MySQL (fin 5.1, tous 5.5, 5.6, etc) ET AOP du paramètre charset du DSN (en PHP ≥ 5.3.6)

OU

• N'utilisez pas vulnérables jeu de caractères pour la connexion de l'encodage (vous ne l'utilisez utf8 /latin1 /ascii /etc)

OU

• Permettre NO_BACKSLASH_ESCAPES mode SQL

Vous êtes sûr à 100%.

Sinon, vous êtes vulnérable même si vous êtes en utilisant PDO Préparées...

Additif

J'ai été en train de travailler sur un patch pour modifier la valeur par défaut de ne pas imiter prépare pour une future version de PHP. Le problème que je suis en cours d'exécution en est que BEAUCOUP de tests de pause où je le fais. Un des problèmes est que émulé prépare fera que jeter des erreurs de syntaxe sur exécuter, mais c'est vrai prépare permettra de générer des erreurs sur les préparer. De sorte que peut provoquer des problèmes (et c'est la raison pour tests sont borking).

Non, ils ne le sont pas toujours.

Cela dépend si vous autorisez la saisie de l'utilisateur pour être placée dans la requête elle-même. Par exemple:

$dbh = new PDO("blahblah");

$tableToUse = $_GET['userTable'];

$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );

serait vulnérable aux injections SQL et l'utilisation des requêtes préparées dans cet exemple ne fonctionnera pas, parce que l'entrée de l'utilisateur est utilisé comme identifiant, et non pas comme des données. Le droit de réponse ici serait d'utiliser une sorte de filtrage et de validation comme:

$dbh = new PDO("blahblah");

$tableToUse = $_GET['userTable'];
$allowedTables = array('users','admins','moderators');
if (!in_array($tableToUse,$allowedTables))    
 $tableToUse = 'users';

$stmt = $dbh->prepare('SELECT * FROM ' . $tableToUse . ' where username = :username');
$stmt->execute( array(':username' => $_REQUEST['username']) );

Remarque: vous ne pouvez pas utiliser PDO pour lier les données qui se passe à l'extérieur de DDL (Data Definition Language), c'est à dire ce qui ne fonctionne pas:

$stmt = $dbh->prepare('SELECT * FROM foo ORDER BY :userSuppliedData');

La raison pour laquelle le ci-dessus ne fonctionne pas parce que DESC et ASC ne sont pas données. AOP ne peut échapper pour données. Deuxièmement, vous ne pouvez même pas mettre ' des guillemets autour d'elle. La seule façon de permettre à l'utilisateur choisi le tri est de filtrer manuellement et vérifier qu'il soit DESC ou ASC.

Non ce n'est pas assez (dans certains cas)! Par défaut PDO utilise des émules préparées lors de l'utilisation de MySQL en tant que pilote de base de données. Vous devez toujours désactiver émulé préparées lors de l'utilisation de MySQL et PDO:

$dbh->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

Une autre chose qui doit toujours être le fait de définir l'encodage correct de la base de données:

$dbh = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8', 'user', 'pass');

Voir aussi cette question: Comment puis-je prévenir l'injection SQL en PHP?

Également noter que c'est seulement sur la base de données côté des choses que vous auriez encore à vous regarder lors de l'affichage des données. E. g. en utilisant htmlspecialchars() à nouveau avec le bon encodage et citant style.

Eaven si vous allez à prévenir l'injection sql front-end, à l'aide de html ou js contrôles, vous devez considérer que, avant la fin des vérifications sont "insertions by-passables".

Vous pouvez désactiver le js ou modifier un modèle avec une avant la fin de l'outil de développement (construit en avec firefox ou chrome, de nos jours).

Afin de prévenir l'injection SQL, serait en droit de vérifier les entrées de date backend à l'intérieur de votre contrôleur.

Je voudrais vous suggérer d'utiliser filter_input() PHP natif de la fonction, afin de désinfecter les OBTENIR et les valeurs d'ENTRÉE.

Si vous voulez aller de l'avant avec la sécurité, pour mieux requêtes de base de données, j'aimerais vous proposer d'utiliser une expression régulière pour valider le format de données.
preg_match() vous aideront dans ce cas!
Mais prenez soin de vous! Moteur d'expressions régulières n'est pas si léger. L'utiliser uniquement si nécessaire, faute de quoi votre demande performances vont diminuer.

La sécurité a un coût, mais ne perdez pas votre performance!

Exemple facile:

si vous voulez vérifier si une valeur, il a reçu de OBTENEZ est un nombre, moins de 99
if(!preg_match('/[0-9]{1,2}/')){...}
est heavyer de

if (isset($value) && intval($value)) <99) {...}

Donc, la réponse finale est: "Non! AOP Préparées ne pas empêcher tout type d'injection sql"; Elle n'empêche pas des valeurs inattendues, juste inattendu concaténation