网站地图    收藏   

主页 > php专栏 > php应用 >

PHP用PDO防Sql注入注意事项 - php高级应用

来源:自学PHP网    时间:2014-11-27 22:16 作者: 阅读:

[导读] 防注入是程序员一个必须要了解的基本安全知道,下面我来介绍关于php使用pdo时的一些防注入安全知识,希望此教程对你会有所帮助.在PHP 5.3.6及以前版本中,并不支持在DSN中的charset定义,而...

PHP用PDO防Sql注入注意事项

防注入是程序员一个必须要了解的基本安全知道,下面我来介绍关于php使用pdo时的一些防注入安全知识,希望此教程对你会有所帮助.

在PHP 5.3.6及以前版本中,并不支持在DSN中的charset定义,而应该使用PDO::MYSQL_ATTR_INIT_COMMAND设置初始SQL,即我们常用的 set names gbk指令.

为何PDO能防SQL注入?请先看以下PHP代码:

  1. <?php 
  2. $pdo = new PDO("mysql:host=192.168.0.1;dbname=test;charset=utf8","root"); 
  3.  
  4. $st = $pdo->prepare("select * from info where id =? and name = ?"); 
  5.  
  6. $id = 21; 
  7.  
  8. $name = 'zhangsan'
  9.  
  10. $st->bindParam(1,$id); 
  11.  
  12. $st->bindParam(2,$name); 
  13. //开源代码phpfensi.com 
  14. $st->execute(); 
  15.  
  16. $st->fetchAll(); 
  17. ?> 

环境如下:PHP 5.4.7,Mysql 协议版本 10,MySQL Server 5.5.27

以上代码,PHP只是简单地将SQL直接发送给MySQL Server,其实,这与我们平时使用mysql_real_escape_string将字符串进行转义,再拼接成SQL语句没有差别,只是由PDO本地驱动完成转义的,显然这种情况下还是有可能造成SQL注入的,也就是说在php本地调用pdo prepare中的mysql_real_escape_string来操作query,使用的是本地单字节字符集,而我们传递多字节编码的变量时,有可能还是会造成SQL注入漏洞(php 5.3.6以前版本的问题之一,这也就解释了为何在使用PDO时,建议升级到php 5.3.6+,并在DSN字符串中指定charset的原因.

针对php 5.3.6以前版本,以下代码仍然可能造成SQL注入问题:

  1. $pdo->query('SET NAMES GBK'); 
  2.  
  3. $var = chr(0xbf) . chr(0x27) . " OR 1=1 /*"
  4.  
  5. $query = "SELECT * FROM info WHERE name = ?"
  6.  
  7. $stmt = $pdo->prepare($query); 
  8.  
  9. $stmt->execute(array($var)); 

原因与上面的分析是一致的.

而正确的转义应该是给mysql Server指定字符集,并将变量发送给MySQL Server完成根据字符转义.

那么,如何才能禁止PHP本地转义而交由MySQL Server转义呢?

PDO有一项参数,名为PDO::ATTR_EMULATE_PREPARES,表示是否使用PHP本地模拟prepare,此项参数默认值未知,php 5.3.6+默认还是使用本地变量转,拼接成SQL发送给MySQL Server的,我们将这项值设置为false,试试效果,如以下代码:

  1. <?php 
  2.  
  3. $pdo = new PDO("mysql:host=192.168.0.1;dbname=test;","root"); 
  4.  
  5. $pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
  6.  
  7. $st = $pdo->prepare("select * from info where id =? and name = ?"); 
  8.  
  9. $id = 21; //www.phpfensi.com 
  10.  
  11. $name = 'zhangsan'
  12.  
  13. $st->bindParam(1,$id); 
  14.  
  15. $st->bindParam(2,$name); 
  16.  
  17. $st->execute(); 
  18.  
  19. $st->fetchAll(); 
  20.  
  21. ?> 

这次PHP是将SQL模板和变量是分两次发送给MySQL的,由MySQL完成变量的转义处理,既然变量和SQL模板是分两次发送的,那么就不存在SQL注入的问题了,但需要在DSN中指定charset属性,代码如下:

$pdo = new PDO('mysql:host=localhost;dbname=test;charset=utf8', 'root');

如此,即可从根本上杜绝SQL注入的问题.

使用PDO的注意事项

知道以上几点之后,我们就可以总结使用PDO杜绝SQL注入的几个注意事项:

1.php升级到5.3.6+,生产环境强烈建议升级到php 5.3.9+ php 5.4+,php 5.3.8存在致命的hash碰撞漏洞.

2.若使用php 5.3.6+,请在在PDO的DSN中指定charset属性.

3.如果使用了PHP 5.3.6及以前版本,设置PDO::ATTR_EMULATE_PREPARES参数为false(即由MySQL进行变量处理),在DSN中指定charset是无效的,同时set names <charset>(此处详细语句PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8')的执行是必不可少的,php 5.3.6以上版本已经处理了这个问题,无论是使用本地模拟prepare还是调用mysql server的prepare均可.

4.如果使用了PHP 5.3.6及以前版本,因Yii框架默认并未设置ATTR_EMULATE_PREPARES的值,请在数据库配置文件中指定emulatePrepare的值为false。

那么,有个问题,如果在DSN中指定了charset,是否还需要执行set names <charset>呢?

是的,不能省。set names <charset>其实有两个作用:

A.告诉mysql server, 客户端(PHP程序)提交给它的编码是什么

B.告诉mysql server, 客户端需要的结果的编码是什么

也就是说,如果数据表使用gbk字符集,而PHP程序使用UTF-8编码,我们在执行查询前运行set names utf8, 告诉mysql server正确编码即可,无须在程序中编码转换。这样我们以utf-8编码提交查询到mysql server, 得到的结果也会是utf-8编码。省却了程序中的转换编码问题,不要有疑问,这样做不会产生乱码。

那么在DSN中指定charset的作用是什么? 只是告诉PDO,本地驱动转义时使用指定的字符集(并不是设定mysql server通信字符集),设置mysql server通信字符集,还得使用set names <charset>指令。

以下是一段可防注入的示例代码:

  1. $dbhost="localhost"
  2. $dbname="test"
  3. $dbusr="root"
  4. $dbpwd=""
  5. $dbhdl=NULL; 
  6. $dbstm=NULL; 
  7.  
  8. $opt = array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8',);  
  9. $dsn='mysql:host=' . $dbhost . ';dbname=' . $dbname.';charset=utf8'
  10. try { 
  11.  $dbhdl = new PDO($dsn$dbusr$dbpwd$opt);//www.111cn.net 
  12.  $dbhdl=->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
  13.  //dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_SILENT);//Display none 
  14.  //dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_WARNING);//Display warning 
  15.  $dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);//Display exception 
  16. } catch (PDOExceptsddttrtion $e) {//return PDOException 
  17.  print "Error!: " . $e->getMessage() . "<br>"
  18.  die(); 
  19.  
  20.  
  21. $dbhost="localhost"
  22. $dbname="test"
  23. $dbusr="root"
  24. $dbpwd=""
  25. $dbhdl=NULL; 
  26. $dbstm=NULL; 
  27.  
  28. $dsn='mysql:host=' . $dbhost . ';dbname=' . $dbname.';charset=utf8'
  29. try { 
  30.  $dbhdl = new PDO($dsn$dbusr$dbpwd,); 
  31.  $dbhdl=->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); 
  32.  //dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_SILENT);//Display none 
  33.  //dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_WARNING);//Display warning 
  34.  $dbhdl->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);//Display exception 
  35.  $dbhdl->query('SET NAMES GBK');  
  36. } catch (PDOExceptsddttrtion $e) {//return PDOException 
  37.  print "Error!: " . $e->getMessage() . "<br>"
  38.  die(); 

自学PHP网专注网站建设学习,PHP程序学习,平面设计学习,以及操作系统学习

京ICP备14009008号-1@版权所有www.zixuephp.com

网站声明:本站所有视频,教程都由网友上传,站长收集和分享给大家学习使用,如由牵扯版权问题请联系站长邮箱904561283@qq.com

添加评论