SQL Injection with MySQL 注入分析

SQL Injection (SQL注入)是一种常见的网络攻击技术，攻击者通过输入一定格式的恶意SQL语句，利用程序没有对用户输入进行校验或者过滤的漏洞，来获取数据库中的数据或者执行非授权的操作。本文将针对MySQL数据库漏洞进行讲解，介绍常见的攻击方法和防御策略。

SQL Injection with MySQL 注入分析

攻击方法

1. 错误的输入验证

攻击者通过像用户一样构造恶意输入，试图欺骗程序接受他们的SQL命令。

示例：

SELECT * FROM users WHERE email = '$submitted_email' AND password = '$submitted_password';

攻击者可以通过输入" OR 1=1--"这样的语句来欺骗程序，欺骗程序认为这是一个有效的查询条件，并返回了整个users表中的数据。

SELECT * FROM users WHERE email = '' OR 1=1--' AND password = '';

1. 拼接字符串

攻击者通过拼接恶意字符串绕过程序提供的输入过滤，实际执行恶意SQL语句。

示例：

$sql = "SELECT * FROM users WHERE id = " . $_GET["id"];

攻击者可以通过将参数设置为"' or '1'='1"这样的字符串，绕过限制并获得整个users表中的所有数据。

$sql = "SELECT * FROM users WHERE id = '' or '1'='1'";

防御策略

1. 过滤输入

对输入数据进行校验或过滤，只接受符合规范格式的数据，并使用参数化查询绑定输入数据和查询语句的参数，从而避免拼接字符串和注入攻击的发生。

示例：

$stmt = $dbh->prepare("SELECT * FROM users WHERE email = :email AND password = :password");
$stmt->bindParam(':email', $submitted_email);
$stmt->bindParam(':password', $submitted_password);
$stmt->execute();

1. 限制数据库访问权限

限制程序用户的访问权限，建立足够的权限隔离，尽可能减少攻击者获取敏感信息的机会。

1. 及时更新和修复

针对数据库性能参数和 patch 的及时更新和修复，防止攻击者通过 exploit 利用已知的漏洞。

示例说明

1. 假设现在我们有一个网站，用户在登录时需要输入用户名和密码进行验证，网站管理员使用以下SQL语句进行验证：

$query = "SELECT * FROM users WHERE username='".$_POST['username']."' AND password='".$_POST['password']."'";

攻击者利用该漏洞构造如下恶意输入用户名：

admin' OR '1'='1

攻击者的意图是为了绕过输入验证，利用类似SQL注入的方式，成功获取数据库中所有用户的密码并登录网站。攻击构造的SQL请求为：

$query = "SELECT * FROM users WHERE username='admin' OR '1'='1' AND password='".$_POST['password']."'";

这条SQL语句将会在密码验证过程中检索整个用户表并返回所有匹配的行，因为"OR 1=1"条件恒为真。这就给了攻击者获取整个用户表数据的机会。

为了避免这个问题，管理员应该对用户名和密码参数进行格式验证，并使用参数化查询绑定用户输入和查询语句中的参数。

1. 假设我们将当前登录用户的ID存储在web浏览器的代码参数中，然后将其添加到SQL查询中，以检索当前用户的私人信息：

$id = $_GET['id'];
$query = "SELECT * FROM users WHERE user_id = " . $id;

攻击者可以通过修改参数来影响SQL查询，从而获得系统内的信息。例如，攻击者可以通过将ID参数设置为 " 'or'1'='1 " 组成攻击指令：

http://www.example.com/page.php?id='or'1'='1

攻击者的意图是绕过参数限制，成功获取整个用户表的数据。由于程序没有检测输入，攻击者构造的SQL查询语句是 ：

$query = "SELECT * FROM users WHERE user_id = '' or '1'='1'";

这条SQL语句将始终返回一个结果集，而不管实际的user_id参数是什么。为了避免这个问题，管理员应该对参数进行格式和内容验证，并使用参数化查询绑定用户输入和查询语句中的参数，从而避免构造SQL注入攻击的机会。