今天在写 ios 的 sqlite 数据库 CRUD (未用第三方库),找到的文章清一色的对查询参数中的字符串没有任何处理就拼到了 sql 语句里面,就直接调用了 sqlite3_prepare 函数执行。如果字符串里面出现了'字符,就算不是恶意输入的,但也会导致问题呀。Android 稍微好点,有参数化那种查询。
于是产生了这个疑问:在仅支持自己构造完整 sql 语句执行的情况下,把用户输入的一个字符串里面的'换成了''拼接到 sql 语句里面,新版、现代、主流的关系型数据库是否还有可能被这个字符串注入?
不限于后端这个重点防范的地方,前端 js、Android、ios 等能接触到数据库的地方都应该会产生此问题吧。
name=UserInput("name").replace("'","''")
sql="select * from table where name='"+name+"'"
db_exec(sql)
1
Takamine 2019-08-02 17:33:14 +08:00
现在一般都先走预编译,这样简单的注入应该没什么用了。
|
2
webshe11 2019-08-02 17:37:14 +08:00 1
naive,还有反斜杠呢
用户输入: someone\' or 1=1 # 替换结果: someone\'' or 1=1 # 拼接结果: select * from users where username='someone\'' or 1=1 #' 建议用编程语言提供的安全操作函数,例如 PHP 的 PDO,不要自己发明 |
3
xiangyuecn OP |
4
xiangyuecn OP @webshe11 刚试了一下,sqlite 和 sql server 反斜杠是普通字符,在 sqllite 和 sql server 里面无需特殊处理。
|
5
momocraft 2019-08-02 17:53:46 +08:00
sqlite 别管了,用户有权对自己的设备做任何事
|
6
xiangyuecn OP @momocraft #5 哈哈,虽然如此,但发生了发生了类似注入性质的行为时(用户正常输入、非恶意、只是碰巧输如了关键字),往往会导致程序运行错误,好端端的 app 运行着就崩溃了就不好啦😁
|
7
EchoUtopia 2019-08-02 18:00:28 +08:00 1
mysql 也可以配置,是否把‘\‘当成普通字符,postgres 默认是当作普通字符
|
8
azh7138m 2019-08-02 18:08:54 +08:00
prepare+bind 对 SQLite 来说就是安全的了。
php 中 execute 的时候传入参数也是安全的 https://www.php.net/manual/en/pdostatement.execute.php 。 |
9
liprais 2019-08-02 18:41:32 +08:00 via iPhone
除了 prepared statement ,都是不安全的
|
10
starsriver 2019-08-02 18:43:29 +08:00 via Android
建议先变成实体,然后全部转换成 utf16 扔数据库.
后台都有专门的过滤函数,不用担心。 |