PDO防注入原理分析以及使用PDO的注意事项总结_php技巧_脚本之家
脚本之家
服务器常用软件
手机版
投稿中心
关注微信
快捷导航
软件下载
android
MAC
驱动下载
字体下载
DLL
源码下载
PHP
ASP.NET
ASP
JSP
软件编程
C#
JAVA
C 语言
Delphi
Android
网络编程
PHP
ASP.NET
ASP
JavaScript
在线工具
CSS格式化
JS格式化
Html转化为Js
数据库
MYSQL
MSSQL
oracle
DB2
MARIADB
CMS
PHPCMS
DEDECMS
帝国CMS
WordPress
常用工具
PHP开发工具
python
Photoshop
必备软件
网站首页
网页制作
网络编程
脚本专栏
脚本下载
数据库
服务器
电子书籍
操作系统
网站运营
平面设计
其它
媒体动画
电脑基础
硬件教程
网络安全
php基础
php技巧
php实例
php文摘
php模板
您的位置：首页 → 网络编程 → PHP编程 → php技巧 → PDO防注入原理分析以及使用PDO的注意事项
PDO防注入原理分析以及使用PDO的注意事项总结
更新时间：2014年10月23日 11:13:12 作者：月影无痕
这篇文章主要介绍了PDO防注入原理分析以及使用PDO的注意事项总结,较为详尽的讲述了PDO防止注入的具体实现方法,具有很好的参考价值,需要的朋友可以参考下
本文详细讲述了PDO防注入原理分析以及使用PDO的注意事项，分享给大家供大家参考。具体分析如下：
我们都知道，只要合理正确使用PDO,可以基本上防止SQL注入的产生，本文主要回答以下两个问题：
为什么要使用PDO而不是mysql_connect？
为何PDO能防注入？
使用PDO防注入的时候应该特别注意什么?
一、为何要优先使用PDO?
PHP手册上说得很清楚：
Prepared statements and stored procedures
Many of the more mature databases support the concept of prepared statements. What are they? They can be thought of as a kind of compiled template for the SQL that an application wants to run, that can be customized using variable parameters. Prepared statements offer two major benefits:
The query only needs to be parsed (or prepared) once, but can be executed multiple times with the same or different parameters. When the query is prepared, the database will analyze, compile and optimize its plan for executing the query. For complex queries this process can take up enough time that it will noticeably slow down an application if there is a need to repeat the same query many times with different parameters. By using a prepared statement the application avoids repeating the analyze/compile/optimize cycle. This means that prepared statements use fewer resources and thus run faster.
The parameters to prepared statements don't need to be quoted; the driver automatically handles this. If an application exclusively uses prepared statements, the developer can be sure that no SQL injection will occur (however, if other portions of the query are being built up with unescaped input, SQL injection is still possible).
即使用PDO的prepare方式，主要是提高相同SQL模板查询性能、阻止SQL注入
同时，PHP手册中给出了警告信息
Prior to PHP 5.3.6, this element was silently ignored. The same behaviour can be partly replicated with the PDO::MYSQL_ATTR_INIT_COMMAND driver option, as the following example shows.
Warning
The method in the below example can only be used with character sets that share the same lower 7 bit representation as ASCII, such as ISO-8859-1 and UTF-8. Users using character sets that have different representations (such as UTF-16 or Big5) must use the charset option provided in PHP 5.3.6 and later versions.
意思是说，在PHP 5.3.6及以前版本中，并不支持在DSN中的charset定义，而应该使用PDO::MYSQL_ATTR_INIT_COMMAND设置初始SQL, 即我们常用的 set names gbk指令。
我看到一些程序，还在尝试使用addslashes达到防注入的目的，殊不知这样其实问题更多, 详情请看https://www.jb51.net/article/49205.htm
还有一些做法：在执行数据库查询前，将SQL中的select, union, ....之类的关键词清理掉。这种做法显然是非常错误的处理方式，如果提交的正文中确实包含 the students's union , 替换后将篡改本来的内容，滥杀无辜，不可取。
二、为何PDO能防SQL注入？
请先看以下PHP代码：
复制代码 代码如下:<?php
$pdo = new PDO("mysql:host=192.168.0.1;dbname=test;charset=utf8","root");
$st = $pdo->prepare("select * from info where id =? and name = ?");
$id = 21;
$name = 'zhangsan';
$st->bindParam(1,$id);
$st->bindParam(2,$name);
$st->execute();
$st->fetchAll();
?>
环境如下：
PHP 5.4.7
Mysql 协议版本 10
MySQL Server 5.5.27
为了彻底搞清楚php与mysql server通讯的细节，我特别使用了wireshark抓包进行研究之,安装wireshak之后，我们设置过滤条件为tcp.port==3306, 如下图：
如此只显示与mysql 3306端口的通信数据，避免不必要的干扰。
特别要注意的是wireshak基于wincap驱动，不支持本地环回接口的侦听（即使用php连接本地mysql的方法是无法侦听的），请连接其它机器（桥接网络的虚拟机也可）的MySQL进行测试。
然后运行我们的PHP程序，侦听结果如下，我们发现，PHP只是简单地将SQL直接发送给MySQL Server :
其实，这与我们平时使用mysql_real_escape_string将字符串进行转义，再拼接成SQL语句没有差别（只是由PDO本地驱动完成转义的），显然这种情况下还是有可能造成SQL注入的，也就是说在php本地调用pdo prepare中的mysql_real_escape_string来操作query，使用的是本地单字节字符集，而我们传递多字节编码的变量时，有可能还是会造成SQL注入漏洞(php 5.3.6以前版本的问题之一，这也就解释了为何在使用PDO时，建议升级到php 5.3.6+，并在DSN字符串中指定charset的原因。
针对php 5.3.6以前版本，以下代码仍然可能造成SQL注入问题：
复制代码 代码如下:$pdo->query('SET NAMES GBK');
$var = chr(0xbf) . chr(0x27) . " OR 1=1 /*";
$query = "SELECT * FROM info WHERE name = ?";
$stmt = $pdo->prepare($query);
$stmt->execute(array($var));
原因与上面的分析是一致的。
而正确的转义应该是给mysql Server指定字符集，并将变量发送给MySQL Server完成根据字符转义。
那么，如何才能禁止PHP本地转义而交由MySQL Server转义呢？
PDO有一项参数，名为PDO::ATTR_EMULATE_PREPARES ，表示是否使用PHP本地模拟prepare，此项参数默认值未知。而且根据我们刚刚抓包分析结果来看，php 5.3.6+默认还是使用本地变量转，拼接成SQL发送给MySQL Server的，我们将这项值设置为false, 试试效果，如以下代码：
复制代码 代码如下:<?php
$pdo = new PDO("mysql:host=192.168.0.1;dbname=test;","root");
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);//这是我们刚加入的内容
$st = $pdo->prepare("select * from info where id =? and name = ?");
$id = 21;
$name = 'zhangsan';
$st->bindParam(1,$id);
$st->bindParam(2,$name);
$st->execute();
$st->fetchAll();
?>
运行一下程序，使用wireshark抓包分析，得出的结果如下：
看到了吗？这就是神奇之处，可见这次PHP是将SQL模板和变量是分两次发送给MySQL的，由MySQL完成变量的转义处理，既然变量和SQL模板是分两次发送的，那么就不存在SQL注入的问题了，但需要在DSN中指定charset属性，如：
复制代码 代码如下:$pdo = new PDO('mysql:host=localhost;dbname=test;charset=utf8', 'root');
如此，即可从根本上杜绝SQL注入的问题。如果你对此不是很清楚，可以发邮件至zhangxugg@163.com, 一起探讨。
三、使用PDO的注意事项
知道以上几点之后，我们就可以总结使用PDO杜绝SQL注入的几个注意事项：
1. php升级到5.3.6+，生产环境强烈建议升级到php 5.3.9+ php 5.4+，php 5.3.8存在致命的hash碰撞漏洞。
2. 若使用php 5.3.6+, 请在在PDO的DSN中指定charset属性
3. 如果使用了PHP 5.3.6及以前版本，设置PDO::ATTR_EMULATE_PREPARES参数为false（即由MySQL进行变量处理），php 5.3.6以上版本已经处理了这个问题，无论是使用本地模拟prepare还是调用mysql server的prepare均可。在DSN中指定charset是无效的，同时set names <charset>的执行是必不可少的。
4. 如果使用了PHP 5.3.6及以前版本, 因Yii框架默认并未设置ATTR_EMULATE_PREPARES的值，请在数据库配置文件中指定emulatePrepare的值为false。
那么，有个问题，如果在DSN中指定了charset, 是否还需要执行set names <charset>呢？
是的，不能省。set names <charset>其实有两个作用：
A. 告诉mysql server, 客户端（PHP程序）提交给它的编码是什么
B. 告诉mysql server, 客户端需要的结果的编码是什么
也就是说，如果数据表使用gbk字符集，而PHP程序使用UTF-8编码，我们在执行查询前运行set names utf8, 告诉mysql server正确编码即可，无须在程序中编码转换。这样我们以utf-8编码提交查询到mysql server, 得到的结果也会是utf-8编码。省却了程序中的转换编码问题，不要有疑问，这样做不会产生乱码。
那么在DSN中指定charset的作用是什么? 只是告诉PDO, 本地驱动转义时使用指定的字符集（并不是设定mysql server通信字符集），设置mysql server通信字符集，还得使用set names <charset>指令。
我真想不通，一些新的项目，为何不使用PDO而使用传统的mysql_XXX函数库呢？如果正确使用PDO，可以从根本上杜绝SQL注入，我强烈建议各个公司的技术负责人、一线技术研发人员，要对这个问题引起重视，尽可能使用PDO加快项目进度和安全质量。
不要再尝试自己编写SQL注入过滤函数库了（又繁琐而且很容易产生未知的漏洞）。
希望本文所述对大家的PHP程序设计有所帮助。
您可能感兴趣的文章:Php中用PDO查询Mysql来避免SQL注入风险的方法PHP登录环节防止sql注入的方法浅析PHP防范SQL注入的具体方法详解(测试通过)php is_numberic函数造成的SQL注入漏洞php中sql注入漏洞示例 sql注入漏洞修复php防止sql注入示例分析和几种常见攻击正则表达式php防止sql注入代码实例PHP MYSQL注入攻击需要预防7个要点php防止SQL注入详解及防范php使用exec shell命令注入的方法讲解php防注入及开发安全详细解析
PDO
防注入
相关文章
php通过array_unshift函数添加多个变量到数组前端的方法这篇文章主要介绍了php通过array_unshift函数添加多个变量到数组前端的方法,涉及php中array_unshift函数操作数组的使用技巧,需要的朋友可以参考下 2015-03-03
php HtmlReplace输入过滤安全函数这个替换函数，是对用户输入的一些安全过滤，防止用户提交了不安全的代码。 2010-07-07
PHP MSSQL 存储过程的方法在PHP中调用MS SQL存储过程的核心代码
2008-12-12
php格式化json函数示例代码这篇文章主要介绍了php格式化json函数,结合实例形式分析了php使用自定义函数实现json格式化的方法,涉及php数组转json、流程控制及字符串操作等技巧,需要的朋友可以参考下 2016-05-05
利用php操作memcache缓存的基础方法示例Memcache函数库是在PECL(PHP Extension Community Library)中，主要作用是搭建大容量的内存数据的临时存放区域，在分布式的时候作用体现的非常明显，否则不建议使用。本文将给大家介绍了关于利用php操作memcache缓存的基础方法，需要的朋友可以参考下。 2017-08-08
php获取网页上所有链接的方法这篇文章主要介绍了php获取网页上所有链接的方法,涉及php操作正则匹配的技巧,代码简单实用,需要的朋友可以参考下 2015-04-04
使用PHP socke 向指定页面提交数据一直以为有了ajax别人网站的数据就可以拿过来用,这也是我这几天想的一个方像,但是用了firefox测试之后,现在不能,
2008-07-07
php实现无限级分类（递归方法）当你学习php无限极分类的时候，大家都觉得一个字“难”我也觉得很难，所以，现在都还在看，因为工作要用到，所以，就必须得研究研究。 2015-08-08
解析file_get_contents模仿浏览器头(user_agent)获取数据本篇文章是对file_get_contents模仿浏览器头(user_agent)获取数据进行了详细的分析介绍，需要的朋友参考下 2013-06-06
php图片的二进制转换实现方法这篇文章主要介绍了php图片的二进制转换实现方法,详细介绍了图片与二进制之间转换的原理与实现技巧,非常具有实用价值,需要的朋友可以参考下 2014-12-12
最新评论
大家感兴趣的内容
1php中json_decode()和json_encode(2PHP 数组和字符串互相转换实现方法3php 字符串中是否包含指定字符串的多种方法4PHP中使用cURL实现Get和Post请求的方法5php中iconv函数使用方法6php日期转时间戳,指定日期转换成时间戳7PHP 页面跳转到另一个页面的多种方法方法总结8PHP中文处理 中文字符串截取(mb_substr)和获取中9php下intval()和(int)转换使用与区别10利用phpExcel实现Excel数据的导入导出(全步骤详细
最近更新的内容
php仿QQ验证码的实例分析PHP多个图片压缩成ZIP的方法php实现与erlang的二进制通讯实例解析THINKPHP支持YAML配置文件的设置方法php显示指定目录下子目录的方法php 文件上传代码(限制jpg文件)Windows下的PHP 5.3.x安装 Zend Guard LoaderPHP多线程抓取网页实现代码php通过修改header强制图片下载的方法PHP解决URL中文GBK乱码问题的两种方法
常用在线小工具
微信
投稿
脚本任务
在线工具
关注微信公众号
关于我们 -
广告合作 -
联系我们 -
免责声明 -
网站地图 -
投诉建议 -
在线投稿
CopyRight 2006-2021 JB51.Net Inc All Rights Reserved. 脚本之家 版权所有