SQL注入实验，PHP连接数据库，Mysql查看binlog，PreparedStatement，mysqli, PDO
看到有人说了判断能否sql注入的方法：
简单的在参数后边加一个单引号，就可以快速判断是否可以进行SQL注入，这个百试百灵，如果有漏洞的话，一般会报错。
下面内容参考了这两篇文章
http://blog.csdn.net/stilling2006/article/details/8526458 http://www.aichengxu.com/view/43982
nginx配置文件位置：/usr/local/etc/nginx/nginx.conf
主目录位置：/usr/local/Cellar/nginx/1.10.1/
Symfony位置：/Users/baidu/Documents/Data/Work/Installed/symfony/mywebsite/web
先在主目录创建一个文件 test.php，内容如下：
<?php echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $sql = 'select nickname from user where id = 1'; $result = mysql_query($sql); print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } mysql_close($con); ?>
上面，注意几个细节：
1. mysql连接要关的，使用mysql_close，之前因为没关，始终有连接存在
2. mysql_num_rows获得行数，mysql_fetch_array获得每次结果。
然后,nginx运行之后，得到运行结果：
http://localhost:8080/test.php PHP version:5.5.30 rows:1 abc
下面，改造成从参数拿sql参数。
<?php echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $input_id = trim($_GET['id']); $sql = 'select nickname from user where id = ' . $input_id; var_dump('SQL is:' . $sql); $result = mysql_query($sql); if ($result != null) { print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } } mysql_close($con); ?>
在上面，会使用id参数添加到sql里面，并且会将sql打印出来。
得到结果
http://localhost:8080/test.php?id=3 PHP version:5.5.30 string(50) "SQL is:select nickname from user where id = 3 " rows:1 micro http://localhost:8080/test.php?id=3 or 1=1 PHP version:5.5.30 string(57) "SQL is:select nickname from user where id = 3 or 1=1 " rows:4 abc micro helloworld 你好 注意，开始的时候上面输出'你好'的是中文乱码。只需要在php文件开始加上下面这句，就可以避免乱码： <?php header('Content-Type: text/html; charset=utf-8');
从上面可以看出，发生了sql注入。用户可以打印出所有的用户信息。
再引申一下。有的时候，我们会用引号将参数包住，但是这样仍然不能解决问题。
将PHP改成如下：
<?php header('Content-Type: text/html; charset=utf-8'); echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $input_id = trim($_GET['id']); $sql = 'select nickname from user where id = \'' . $input_id . '\''; print_r('SQL is:' . $sql . '<br/>'); $result = mysql_query($sql); if ($result != null) { print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } } mysql_close($con); ?>
上面把var_dump换成了print_r，以免sql语句总是换行。
这时候，不同url访问获得的结果如下：
http://localhost:8080/test.php?id=3 PHP version:5.5.30 SQL is:select nickname from user where id = '3' rows:1 micro http://localhost:8080/test.php?id=3 or 1=1 PHP version:5.5.30 SQL is:select nickname from user where id = '3 or 1=1' rows:1 micro http://localhost:8080/test.php?id=3' or '1'='1 PHP version:5.5.30 SQL is:select nickname from user where id = '3' or '1'='1' rows:4 abc micro helloworld 你好
上面可以看到，加了引号，对于之前的情况是能够避免了。但是只要稍作调整，又能够成功进行sql注入了。
有时候，攻击者还会在参数里面加上'--'。这是因为sql会认为 -- 右边的都是注释，这样能够更方便对sql的控制。
首先将test.php改成如下，增加一个参数：
<?php header('Content-Type: text/html; charset=utf-8'); echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $input_id = trim($_GET['id']); $name = trim($_GET['name']); $sql = 'select nickname from user where id = \'' . $input_id . '\' and nickname = \'' . $name . '\''; print_r('SQL is:' . $sql . '<br/>'); $result = mysql_query($sql); if ($result != null) { print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } } mysql_close($con); ?>
然后对于不同url的访问结果：
http://localhost:8080/test.php?id=3 PHP version:5.5.30 SQL is:select nickname from user where id = '3' and nickname = '' rows:0 http://localhost:8080/test.php?id=3&name=micro PHP version:5.5.30 SQL is:select nickname from user where id = '3' and nickname = 'micro' rows:1 micro http://localhost:8080/test.php?id=3 or 1=1 PHP version:5.5.30 SQL is:select nickname from user where id = '3 or 1=1' and nickname = '' rows:0 http://localhost:8080/test.php?id=3' or '1'='1 PHP version:5.5.30 SQL is:select nickname from user where id = '3' or '1'='1' and nickname = '' rows:1 micro
http://localhost:8080/test.php?id=3' or '1'='1&name=micro
PHP version:5.5.30
SQL is:select nickname from user where id = '3' or '1'='1' and nickname = 'micro'
rows:1
micro
以上例子可以看出，即使加了sql注入，但是拼出来的sql仍然受到了限制只能返回一行。不过，加了 -- 注释符号，情况就又不一样了。
http://localhost:8080/test.php?id=3' or 1=1 --' PHP version:5.5.30 SQL is:select nickname from user where id = '3' or 1=1 --'' and nickname = '' rows:1 micro http://localhost:8080/test.php?id=3' or 1=1 -- ' PHP version:5.5.30 SQL is:select nickname from user where id = '3' or 1=1 -- '' and nickname = '' rows:4 chaoliu micro helloworld 你好 http://localhost:8080/test.php?id=3' or 1=1; -- ' PHP version:5.5.30 SQL is:select nickname from user where id = '3' or 1=1; -- '' and nickname = '' rows:4 chaoliu micro helloworld 你好
这3个例子要仔细看。一定要注意，-- 的前后都要加上空格才会生效。
另外，在参数里加上分号; 对于拼接sql的代码，也是会生效的。
现在试试，直接在url里面对数据库内容进行修改。
http://localhost:8080/test.php?id=3'; update user set nickname='a' where id=1; -- ' PHP version:5.5.30 SQL is:select nickname from user where id = '3'; update user set nickname='a' where id=1; -- '' and nickname = '' 貌似运行没有成功。 但是直接把sql贴到Mysql客户端运行是可以成功的。
PHP的error log是在
/usr/local/var/log/php_errors.log
但是没有看到有打印错误内容。
去查看了Mysql的error日志，在Mysql机器上面的
/home/work/.jumbo/var/lib/mysql 目录里面有几种日志，也没有看到信息。
所以想到查binlog看看。binlog的查看方法（在Mysql客户端里面）：
mysql> show binlog events in 'mysql-bin.000005'\G *************************** 207. row *************************** Log_name: mysql-bin.000005 Pos: 18070 Event_type: Query Server_id: 1 End_log_pos: 18144 Info: BEGIN *************************** 208. row *************************** Log_name: mysql-bin.000005 Pos: 18144 Event_type: Query Server_id: 1 End_log_pos: 18254 Info: use `springdemo`; update user set nickname='abc' where id=1 *************************** 209. row *************************** Log_name: mysql-bin.000005 Pos: 18254 Event_type: Xid Server_id: 1 End_log_pos: 18281 Info: COMMIT /* xid=7772 */ 209 rows in set (0.00 sec)
里面只记录了更新的日志。而且发现通过上面修改的更新是没有的。
还有一些其他binlog相关的命令：
mysql> show master status\G *************************** 1. row *************************** File: mysql-bin.000005 Position: 18281 Binlog_Do_DB: Binlog_Ignore_DB: 1 row in set (0.00 sec) mysql> show binary logs; +------------------+-----------+ | Log_name | File_size | +------------------+-----------+ | mysql-bin.000001 | 29776 | | mysql-bin.000002 | 1036239 | | mysql-bin.000003 | 769 | | mysql-bin.000004 | 397 | | mysql-bin.000005 | 18281 | +------------------+-----------+ 5 rows in set (0.00 sec) 另外，也可以用mysqlbinlog工具查看。还没有试过。
看起来这条url是不能生效的。
http://localhost:8080/test.php?id=3%27;%20update%20user%20set%20nickname=%27ab%27%20where%20id=1;%20--%20%27
又试了下drop table的命令
http://localhost:8080/test.php?id=3%27;%20drop%20table%20users;%20--%20%27 对于下面这个表： mysql> create table users ( a varchar(20), b varchar(10), primary key (a) ); Query OK, 0 rows affected (0.12 sec) 运行上面的url之后，仍然存在
PHP version:5.5.30
SQL is:select nickname from user where id = '3'; drop table users; -- '' and nickname = ''
与原文描述的不一样了：http://blog.sina.com.cn/s/blog_6a384fce0100n95f.html
下面来说解决的办法：
1. 通过正则表达式匹配校验，或其他格式的校验（较复杂不规范）
2. 通过addslashes或者str_replace（比如把引号'替换成\引号'）处理（有漏洞）
3. 通过mysql_real_escape_string处理（有漏洞）
4. 通过mysqli处理，用PreparedStatement（推荐）
5. 通过PDO(PHP Data Object)处理，也是用PreparedStatement（推荐）
对于1，太复杂琐碎，不做讨论。
对于2其中的str_replace，也不规范，不做讨论。
2其中的addslashes和mysql_real_escape_string 都存在由于客户端和Mysql服务器编码方式不一致导致的编码转换丢失和字符一分为二导致的漏洞。后面详述，先看本来的方案。
参考 http://www.aichengxu.com/view/43982
addslashes：
<?php header('Content-Type: text/html; charset=utf-8'); echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $input_id = addslashes($_GET['id']); $name = addslashes($_GET['name']); $sql = 'select nickname from user where id = \'' . $input_id . '\' and nickname = \'' . $name . '\''; print_r('SQL is:' . $sql . '<br/>'); $result = mysql_query($sql); if ($result != null) { print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } } mysql_close($con); ?>
测试上面的一些URL：
http://localhost:8080/test.php?id=3&name=micro
PHP version:5.5.30
SQL is:select nickname from user where id = '3' and nickname = 'micro'
rows:1
micro
注：正常
http://localhost:8080/test.php?id=3%27%20or%201=1;%20--%20%27 PHP version:5.5.30 SQL is:select nickname from user where id = '3\' or 1=1; -- \'' and nickname = '' rows:0
注：防御成功
mysql_real_escape_string：
<?php header('Content-Type: text/html; charset=utf-8'); echo "PHP version:" . PHP_VERSION . "<br/>"; $con = mysql_connect('10.117.146.21:8306', 'root', '[password]'); mysql_select_db('springdemo', $con); $input_id = mysql_real_escape_string($_GET['id']); $name = mysql_real_escape_string($_GET['name']); $sql = 'select nickname from user where id = \'' . $input_id . '\' and nickname = \'' . $name . '\''; print_r('SQL is:' . $sql . '<br/>'); $result = mysql_query($sql); if ($result != null) { print_r('rows:' . mysql_num_rows($result) . '<br/>'); while ($row = mysql_fetch_array($result)) { print_r($row['nickname'] . '<br/>'); } } mysql_close($con); ?>
注，mysql_real_escape_string函数需要连到Mysql服务器才能够工作。
测试一些URL：
http://localhost:8080/test.php?id=3&name=micro PHP version:5.5.30 SQL is:select nickname from user where id = '3' and nickname = 'micro' rows:1 micro http://localhost:8080/test.php?id=3%27%20or%201=1;%20--%20%27 PHP version:5.5.30 SQL is:select nickname from user where id = '3\' or 1=1; -- \'' and nickname = '' rows:0
讨论上面两个函数里面的漏洞 http://www.t086.com/article/5027：
主要是针对这个字符：chr(0xbf).chr(0x27). 该漏洞最早2006年被国外用来讨论数据库字符集设为GBK时，0xbf27本身不是一个有效的GBK字符，但经过 addslashes() 转换后变为0xbf5c27，
前面的0xbf5c是个有效的GBK字符，所以0xbf5c27会被当作一个字符0xbf5c和一个单引号来处理，结果漏洞就触发了。 mysql_real_escape_string() 也存在相同的问题，只不过相比 addslashes() 它考虑到了用什么字符集来处理，因此可以用相应的字符集来处理字符。 意思是如果客户端和服务器能够设置一样的字符集，那么可以避免这个漏洞。 当mysql_real_escape_string检测到的编码方式跟client设置的编码方式(big5/bgk)不一致时，mysql_real_escape_string跟addslashes是没有区别的 。 [client] default-character-set=latin1 + mysql_query("SET CHARACTER SET 'gbk'", $mysql_conn); 这种情况下mysql_real_escape_string 是基于 latin1工作的，是不安全的。 [client] default-character-set=gbk + mysql_query("SET CHARACTER SET 'gbk'", $mysql_conn); 这种情况下mysql_real_escape_string 是基于 gbk工作的，是安全的。 但是文中作者测试了，仍然是有漏洞的。（存疑）
看了下Mysql 服务器的设置，的确有client这个分组，不过没有加上上面提到的字符集设置：
位置： /home/work/.jumbo/etc/mysql/my.cfg 里面关于client的内容： # The following options will be passed to all MySQL clients [client] #password = your_password port = 8306 socket = /home/work/.jumbo/var/run/mysqld/mysqld.sock
可能是需要加上 default-character-set=gbk 这样的设置吧。不过仍然不是很规范，不推荐。
文章作者还提到，可以用iconv来转换，不过更近粗暴，转不成功后面的就会截断，不太好。另外iconv之后，还需要再加上addslashes函数。
$this->sName=iconv('gbk//IGNORE', 'utf-8', $this->sName);
下面就讨论两个推荐的方式：mysqli 和 PDO，他们的初始方法分别如下所示：
// PDO $pdo = new PDO("mysql:host=localhost;dbname=database", 'username', 'password'); // mysqli, procedural way $mysqli = mysqli_connect('localhost','username','password','database'); // mysqli, object oriented way $mysqli = new mysqli('localhost','username','password','database');
另外，他们其实也都是有转码的函数的，不过更推荐的是更好的PreparedStatement方式：
推荐采用prepared statements的方式绑定查询来代替PDO::quote() 和 mysqli_real_escape_string().
看mysqli, PDO是否安装，可以通过php_info()打印出来的信息来看：
http://localhost:8080/index.php 调用了php_info() API Extensions mysqli,pdo_mysql,mysql mysqli MysqlI Support enabled Client API library version mysqlnd 5.0.11-dev - 20120503 - $Id: 15d5c781cfcad91193dceae1d2cdd127674ddb3e $ Active Persistent Links 0 Inactive Persistent Links 0 Active Links 0 PDO PDO support enabled PDO drivers mysql, sqlite 看起来都安装了。
另起一篇，来看mysqli 和 PDO等的操作和对sql注入的处理吧。
