English
Суть вопроса:
Что, в сущности, из себя представляет инъекция? Начинающий php-разработчик, только приступивший к изучению MySQL, вероятнее всего, будет конструировать запросы примерно следующим образом:
$query = "SELECT name FROM mytable WHERE id=" . $_GET['id'];В случае добропорядочного пользователя, скрипт сработает именно так, как и задумывалось. Что же попробует сделать злоумышленник? Он не станет отправлять на сервер числовое значение. Вместо этого он, попробует поставить после числового значения точку с запятой (символ завершения SQL-запроса) после чего напишет свой, уже не имеющий к изначально задуманному нами запрос. Что-то вроде того:
5; SELECT * FROM mytable;5; DROP TABLE mytable;В результате, MySQL-сервер сначала выполнит наш запрос, а следом за ним – запрос злоумышленника. Таким образом, взломщик, в зависимости от ситуации (и прав MySQL юзера, который используется PHP) сделать почти все что угодно: от получения доступа к конфиденциальной информации до полного контроля над вашей базой данных.
Как же разработчику защитить свой сайт от инъекций?
Ручная проверка пользовательских данных. Разумеется, проверка формата вводимых данных - первый наиболее очевидный вариант защиты от инъекций. Вместо того чтобы доверять вводимым данным мы будем проверять их на соответствие нужному нам формату. Делать это можно десятком различных способов. Например:
$query = "SELECT name FROM mytable WHERE id=" . intval($_GET['id']);if( intval ( $_GET['id'] ) ) {
$query = "SELECT name FROM mytable WHERE id=" . intval($_GET['id']);
} else {
exit('айайай!');
}Другим вариантом примитивной защиты является использование нативной функции mysqli_real string_escape() для предотвращения проникновения «корварных» запросов. Главным минусом подобного подхода, является его крайняя неавтоматизированность: нам приходится проверять пользовательское значение каждый раз когда мы делаем запрос. Можно, конечно, использовать готовый SQL-билдер со встроенной защитой от SQL-инъекций или написать свой. Однако, в данном посте мы предлагаем несколько иной подход, основанный на использовании PDO.
Использование PDOStatement
Начиная с версии 5.1 в PHP доступен встроенный класс PDO (PHP Data Objects). Данный класс содержит богатый набор методов для работы с широким спектром баз данных. Несмотря на почтенный возраст данного инструмента, многие разработчики им пренебрегает, предпочитая «по-старинке» пользоваться библиотекой mysqli, в том числе и мы в DLE, но у нас есть ряд важный причин, DLE это старый скрипт, который появился задолго до PDO, и у нас есть обязательства по совместимости, как со старыми версиями скрипта, так и по максимальному упрощению процесса обновления, для тех, кто пользуется сторонними модулями. Плюс мы очень тщательно подходим к вопросам фильтрации входящих данных. Но вы в отличие от нас не такие старые «динозавры», поэтому главная мысль, которую мы хотим донести до вас заключается в следующем: прямое использования mysqli без каких-либо оберток – прямой путь к SQL-инъекциям, поэтому пишите код сразу безопасным. У разработчиков, по сути, есть только три выхода:
- использовать ручную проверку пользовательских данных
- написать собственную библиотеку (или взять готовую) на основе mysqli с защитой от SQL-инъекций
- использовать PDO
Наш класс будет содержать всего 4 метода:
- метод для соединения с базой
- метод для проверки наличия соединения
- метод для отправки безопасного запроса через PDOStatement
- метод для разрыва соединения с базой
class myClass {
private $host = "localhost";
private $dbname = "dbname";
private $user = "username";
private $pass = "userpassword";
private $charset = "utf8";
private $pdo;
} public function mysql_connect() {
$dsn = "mysql:host=" . $this->host . ";dbname=" . $this->dbname . ";charset=" . $this->charset;
$connopt = array(
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
);
$this->pdo = new PDO($dsn, $this->user, $this->pass, $connopt);
}Итак, с базой мы соединились. Напишем же метод для проверки наличия соединения. С этой целью мы будем использовать метод getAttribute(PDO::ATTR_CONNECTION_STATUS). В случае нормального соединения он возвращает строчку "hostname via TCP/IP", где hostname – имя нашего хоста.
public function mysql_get_status() {
if(is_null($this->pdo)) {
return false;
} elseif ($this->pdo->getAttribute(PDO::ATTR_CONNECTION_STATUS) === $this->host . " via TCP/IP") {
return true;
} else {
return false;
}
}Теперь, собственно, самое интересное. Напишем метод для отправки безопасного запроса к базе.
Наш метод будет иметь три аргумента:
- тело самого запроса
- ассоциативный массив с набором значений
- бинарный аргумент, определяющий требуется ли вернуть данные из базы. Для выполнение SELECT’ов данный аргумент будет равен true, а для INSERT’ов\UPDATE’ов – false.
public function mysql_query($query, $placeholders = null, $select = true) {
if($this->mysql_get_status()) {
$stmt = $this->pdo->prepare($query);
if(!is_null($placeholders)) {
$stmt->execute($placeholders);
} else {
$stmt->execute();
}
if ($select) {
$arr = $stmt->fetchAll();
return $arr;
}
} else {
return false;
}
}"SELECT name FROM mytable WHERE id = :user_id"$smtp = $pdo->prepare("SELECT name FROM mytable WHERE id = :user_id");
$stmt-execute( array ('user_id' => '5' ) ); public function mysql_destroy() {
$this->pdo = null;
}class myClass {
private $host = "localhost";
private $dbname = "dbname";
private $user = "username";
private $pass = "userpassword";
private $charset = "utf8";
private $pdo;
public function mysql_connect() {
$dsn = "mysql:host=" . $this->host . ";dbname=" . $this->dbname . ";charset=" . $this->charset;
$connopt = array(
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC
);
$this->pdo = new PDO($dsn, $this->user, $this->pass, $connopt);
}
public function mysql_get_status() {
if(is_null($this->pdo)) {
return false;
} elseif ($this->pdo->getAttribute(PDO::ATTR_CONNECTION_STATUS) === $this -> host . " via TCP/IP") {
return true;
} else {
return false;
}
}
public function mysql_query($query, $placeholders = null, $select = true) {
if($this->mysql_get_status()) {
$stmt = $this->pdo->prepare($query);
if(!is_null($placeholders)) {
$stmt->execute($placeholders);
} else {
$stmt->execute();
}
if ($select) {
$arr = $stmt->fetchAll();
return $arr;
}
} else {
return false;
}
}
public function mysql_destroy() {
$this->pdo = null;
}
}//устанавливаем соединение
$obj = new myClass;
$obj->mysql_connect();
//SELECT
$data = $obj->mysql_query("SELECT name FROM mytable WHERE id = :user_id AND email=:email;", array('user_id' => '5', 'email' => 'somemail@mail.com' ), TRUE);
print_r( $data );
//INSERT
$obj->mysql_query("INSERT INTO mytable (‘name’, ‘email’) VALUES (:name, :email);", array( 'name' => 'Иван', 'email' => 'somemail@mail.com' ), FALSE);
//разрываем соединение
$obj->mysql_destroy();
Комментарии