`mysql_real_escape_string()` 및 `mysql_escape_string()`은 SQL 주입으로부터 내 앱을 보호하기에 충분합니까?

MySql_real_escape_string() 및 mysql_escape_string()이 앱 보안에 충분합니까? 잠재적인 취약점 평가

mysql_real_escape_string() 및 mysql_escape_string()은 일반적으로 사용됨에도 불구하고 SQL 공격으로부터 데이터베이스를 완전히 보호하지 못하여 다양한 악성 공격에 취약해질 수 있습니다.

SQL 인젝션 공격

반대 널리 알려진 바에 따르면, mysql_real_escape_string()은 모든 시나리오에서 SQL 주입을 방지할 수 없습니다. 가변 데이터를 효과적으로 이스케이프하지만 악의적인 조작으로부터 테이블 이름, 열 이름 또는 LIMIT 필드를 보호하지 못합니다. 공격자는 이 제한 사항을 악용하여 다음과 같은 쿼리를 작성할 수 있습니다.

$sql = "SELECT number FROM PhoneNumbers WHERE " . mysql_real_escape_string($field) . " = " . mysql_real_escape_string($value);

숙련된 해커는 필드 또는 값 변수를 조작하여 악의적인 쿼리를 작성함으로써 이러한 이스케이프 기능을 우회할 수 있습니다.

LIKE SQL 공격

LIKE SQL 공격도 우회 가능 mysql_real_escape_string() 보호. LIKE "$data%" 문과 관련된 쿼리에서 공격자는 모든 기록과 일치하는 빈 문자열을 입력으로 제공할 수 있으며 잠재적으로 신용 카드 번호와 같은 민감한 정보가 노출될 수 있습니다.

문자 집합 악용

Charset 익스플로잇은 특히 Internet Explorer에서 여전히 위협으로 남아 있습니다. 공격자는 데이터베이스와 웹 브라우저 간의 문자 집합 차이를 악용하여 SQL 서버에 대한 모든 권한을 얻는 악의적인 쿼리를 실행할 수 있습니다.

LIMIT 악용

LIMIT 악용을 통해 허용 공격자가 SQL 쿼리의 LIMIT 절을 조작하여 이를 사용하여 여러 쿼리를 결합하고 무단 실행

강력한 방어를 위한 준비된 명령문

이러한 취약점에 대처하고 효과적인 앱 보안을 보장하기 위해 준비된 명령문이 선호되는 방어 메커니즘으로 등장합니다. 준비된 명령문은 서버 측 검증을 사용하여 인증된 SQL 문만 실행하여 알려지거나 알려지지 않은 악용에 대해 사전 예방적 방어를 제공합니다.

준비된 명령문을 사용한 코드 예

$pdo = new PDO($dsn);

$column = 'url';
$value = 'http://www.stackoverflow.com/';
$limit = 1;

$validColumns = array('url', 'last_fetched');

// Validate the $column parameter
if (!in_array($column, $validColumns)) { $column = 'id'; }


$statement = $pdo->prepare('SELECT url FROM GrabbedURLs ' .
                            'WHERE ' . $column . '=? ' .
                            'LIMIT ' . intval($limit));
$statement->execute(array($value));
while (($data = $statement->fetch())) { }

결론

mysql_real_escape_string() 및 mysql_escape_string()은 SQL 공격에 대한 일부 보호 기능을 제공하지만 완벽하지는 않습니다. 준비된 명령문을 구현하는 것은 광범위한 취약점으로부터 애플리케이션을 보호하여 더 나은 앱 보안을 보장하는 보다 포괄적이고 강력한 솔루션입니다.

위 내용은 `mysql_real_escape_string()` 및 `mysql_escape_string()`은 SQL 주입으로부터 내 앱을 보호하기에 충분합니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!