PHP 및 SQL 주입 공격 [2]
Magic Quotes
위에서 언급한 것처럼 SQL 주입은 주로 공격 목적을 달성하기 위해 안전하지 않은 데이터를 데이터베이스에 제출합니다. SQL 주입 공격을 방지하기 위해 PHP에는 입력 문자열을 처리하고 하위 수준에서 입력에 대해 사전 보안 처리를 수행할 수 있는 기능, 즉 Magic Quotes가 제공됩니다. (php.ini Magic_quotes_gpc). Magic_quotes_gpc인 경우
옵션이 활성화되면 입력 문자열의 작은따옴표, 큰따옴표 및 기타 문자 앞에 자동으로 백슬래시 가 붙습니다.
그러나 Magic Quotes는 매우 보편적인 솔루션이 아니며 잠재적으로 위험한 모든 캐릭터를 차단하지 않으며 많은 서버에서 Magic Quotes가 활성화되지 않습니다. 따라서 SQL 인젝션을 방지하기 위해서는 다른 다양한 방법도 활용해야 합니다.
많은 데이터베이스는 기본적으로 이러한 입력 데이터 처리 기능을 제공합니다. 예를 들어, PHP의 MySQL 연산 함수에는 mysql_real_escape_string()이라는 함수가 있는데, 이는 데이터베이스 연산 오류를 일으킬 수 있는 특수 문자나 문자를 이스케이프할 수 있습니다.
참조:
http://cn2.php.net/mysql_real_escape_string
관심이 있으신 분은 아래 댓글을 읽어보시면 됩니다 :)
이 코드를 보세요:
//Magic Quotes 기능이 활성화된 경우
if (get_magic_quotes_gpc()) {
$name = 스트립슬래시($name);
}또 다른{
$name = mysql_real_escape_string($name);
}
mysql_query("SELECT * FROM users WHERE name='{$name}'");
데이터베이스에서 제공하는 기능을 사용하기 전에 위의 예와 마찬가지로 Magic Quotes가 켜져 있는지 확인해야 합니다. 두 번 반복됩니다. MQ가 활성화된 경우 실제 데이터를 얻으려면 추가된 를 제거해야 합니다.
위의 문자열 형식 데이터를 전처리하는 것 외에도 Binary 데이터를 데이터베이스에 저장할 때 전처리에도 주의해야 합니다. 그렇지 않으면 데이터가 데이터베이스 자체의 저장 형식과 충돌하여 데이터베이스가 충돌하거나 데이터 레코드가 손실되거나 전체 데이터베이스가 손실될 수도 있습니다. PostgreSQL과 같은 일부 데이터베이스는 Base64와 유사한 데이터를 인코딩할 수 있는 바이너리 데이터를 인코딩하는 데 특별히 사용되는 pg_escape_bytea() 함수를 제공합니다.
좋다:
// 일반 텍스트 데이터 사용의 경우:
pg_escape_string($regular_strings);
// 바이너리 데이터 사용:
pg_escape_bytea($binary_data);
또 다른 경우에는 이러한 메커니즘을 사용해야 합니다. 즉, 데이터베이스 시스템 자체에서 지원하지 않는 중국어, 일본어 등의 멀티바이트 언어입니다. 그 중 일부에는 이진 데이터 범위와 겹치는 ASCII 범위가 있습니다.
그러나 데이터를 인코딩하면 LIKE abc%와 같은 쿼리가 실패할 수 있습니다.