SQL Injection là gì?
Bằng biện pháp áp dụng lệnh UNION SELECT, tầm nã vấn này phối hợp request đến thương hiệu và bộc lộ mục vật phẩm 999 với 1 request khác, pull thương hiệu cùng password mang lại các người dùng trong Cửa hàng dữ liệu.
Bạn đang xem: Blind sql injection là gì
Cách ngăn ngừa SQL Injection
Chúng ta cần biết được giải pháp phòng phòng Squốc lộ injection tác dụng. Vì Squốc lộ Injection có vector chính là các kênh input đầu vào của người tiêu dùng. Nên cách tiếp cận rất tốt là điều hành và kiểm soát và cẩn thận input của fan dùng làm quan sát và theo dõi các đẳng cấp tấn công. Các developer cũng có thể tránh các lỗ hổng bảo mật thông tin bằng cách áp dụng các biện pháp chống phòng Squốc lộ injection sau:
Input Validation (Xác thực đầu vào)
Quá trình đảm bảo nhằm mục đích xác minch coi các loại input vì chưng người tiêu dùng gửi bao gồm hòa hợp lệ hay không. Xác thực đầu vào bảo đảm chính là dạng hình, độ lâu năm, định dạng… được gật đầu đồng ý. Chỉ những quý hiếm qua được xác thực new có thể được giải pháp xử lý. Nó giúp cản lại đầy đủ lệnh được cnhát vào trong chuỗi input.
Xác thực đề xuất được vận dụng với những trường được cho phép người tiêu dùng nhập đầu vào, nhưng các bạn còn đề nghị quyên tâm cho các trường hợp sau:
Sử dụng biểu thức chủ yếu quy làm cho whitelist cho các tài liệu bao gồm cấu tạo (chẳng hạn như thương hiệu, tuổi, các khoản thu nhập, zip code) để bảo đảm an toàn bảo đảm đầu vào vừa lòng lệ.Trong trường vừa lòng có một cỗ quý hiếm thắt chặt và cố định (nhỏng drop-down list), hãy xác định quý giá được trả về. Dữ liệu đầu vào buộc phải khớp với 1 trong những tùy chọn được hỗ trợ.Dưới đó là cách đúng đắn tên bảng:
switswitch ($tableName) case "fooTable": return true; case "barTable": return true; default: return new BadMessageException("unexpected value provided as table name");Biến $tableName có thể được appkết thúc thẳng, bây giờ nó được nghe biết là một trong những trong những giá trị hòa hợp pháp đến thương hiệu của Table.
Đối với drop-down các mục, việc bảo đảm dữ liệu siêu đơn giản. Giả sử bạn muốn người dùng chọn xếp thứ hạng từ 1 mang lại 5, hãy thay đổi PHPhường code thành:
0) &và ($number quý khách hàng đã thêm nhì kiểm tra solo giản:
Phải là một số trong những (hàm is_numeric())$number cần lớn hơn 0, nhỏ dại hơn 6. Do đó điểm bao gồm phạm vi từ 1 – 5.Dữ liệu nhận ra tự bên ngoài cần được chuẩn xác. Quy tắc này không những vận dụng mang đến đầu vào vì người tiêu dùng Internet cung cấp, ngoài ra cho các đơn vị cung cấp, công ty đối tác, cơ quan cai quản.
Parametrized queries (Tsi mê số hóa tróc nã vấn)
Các truy vấn tđam mê số hóa là 1 trong những phương tiện đi lại pre-compile lệnh Squốc lộ. Sau kia bạn có thể hỗ trợ các tsi mê số nhằm câu lệnh được xúc tiến.
Pmùi hương pháp này góp Cơ sở dữ liệu có thể nhận thấy mã và tách biệt nó cùng với tài liệu đầu vào.
Input của người tiêu dùng được trích dẫn tự động, và hình dạng mã hóa này giúp bớt tgọi tấn công Squốc lộ injection.
Ta cũng hoàn toàn có thể sử dụng các truy tìm vấn tđam mê số hóa cùng với phần mở rộng MySQLi, nhưng PHP.. 5.1 vẫn trình bày một biện pháp tiếp cận xuất sắc hơn Khi làm việc với CSDL: PHPhường Data Objects (PDO). PDO vận dụng các phương thức đơn giản hóa việc sử dụng những truy hỏi vấn tđắm say số hóa. Hình như, nó tạo nên code dễ đọc rộng và dễ di chuyển hơn, bởi vì nó còn vận động bên trên một số Thương hiệu tài liệu không giống, không chỉ là từng MySQL.
Code này sử dụng PDO cùng với các truy vấn được tđắm đuối số hóa để ngăn ngừa lỗ hổng Squốc lộ injection:
prepare($sql);$query->bindParam(":id", $id);$query->execute();//getting the result$query->setFetchMode(PDO::FETCH_ASSOC);$result = $query->fetchColumn();print(htmlentities($result));
Stored Procedures
Các stored procedures (SP) đòi hỏi developer nhóm một xuất xắc những lệnh Squốc lộ thành một đơn vị súc tích nhằm rất có thể chế tạo một kế hoạch xúc tiến. Các lần xúc tiến tiếp theo sau được cho phép các lệnh được tham số hóa tự động. Nói một phương pháp dễ dàng và đơn giản, nó là 1 trong những loại code rất có thể được tàng trữ để thực hiện trong tương lai.Vì vậy, bất cứ khi nào bạn phải thực hiện truy hỏi vấn, nuốm do viết đi viết lại thì rất có thể Hotline một stored procedure.
Đây là 1 trong quá trình chế tạo ra một SPhường vào server MySQL. Ví dụ chúng ta tất cả một bảng nlỗi sau:
CREATE TABLE `salary` ( `empid` int(11) NOT NULL, `sal` int(11) DEFAULT NULL, PRIMARY KEY (`empid`)) ENGINE=InnoDB DEFAULT CHARSET=utf8;Giả sử gồm một nhân viên cấp dưới bắt buộc rước dữ liệu tổng vừa lòng về lương chủ thể từ bỏ Table kia. Đầu tiên, bạn cần chế tạo một người dùng ‘tr’:
