Риск безопасности, вызванный несанкционированным вводом пользователя, кроме XSS и SQL-инъекций в PHP?

Question

XSS и SQL-инъекции являются двумя основными рисками безопасности при использовании неанитированного пользовательского ввода.

XSS можно предотвратить (если нет режима полного) с помощью htmlspecialchars() и инъекцию SQL можно предотвратить с помощью параметризованных запросов и связанных переменных.

Используя эти два метода, можно ли использовать весь несаминированный вход?

Answer 1

Используя эти методы, ваш пользовательский ввод уже подвергся санации по большей части. Если вы хотите сделать еще один шаг, вы можете выполнить проверки на ввод данных перед запуском SQL-кода. Примером может быть, проверка номера являются числами только, проверяя длину пользовательского ввода и т.д.

Answer 2

Просто некоторые возможные проблемы подле XSS и SQL-инъекции:

• XML External Entity раскрытие файла через simplexml_load_[file|string](): https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Processing
• Удаленное выполнение кода через unserialize(): http://www.exploit-db.com/exploits/22398/
• выполнение команд с помощью system(), popen() и т.д.
• strcmp() перепуска с использованием массивов
• ... и т.д. ...

Это всегда зависит, где вы проходите UserInput и как дезинфицировать его. Например всегда использовать PDO для SQL операций, потому что даже при правильном побега злоумышленник может внедрить SQL-код без кавычек на все:

SELECT title, content FROM cms WHERE id = 1 

Злоумышленник может изменить это:

SELECT title, content FROM cms WHERE id = -1 UNION SELECT username AS title, password AS content from users LIMIT 1 

В этом случае только intval() может помочь, и экранирование (mysql_real_escape_string, magic_quotes, addslashes и т. Д.) Не поможет вообще.

Также посмотрите здесь, пожалуйста: Exploitable PHP functions

Answer 3

Вы всегда должны учитывать контекст данных используется в Поскольку упомянутые функции и методы работают только тогда, когда они используются в соответствии с целью их использования.. Это относится не только к HTML и SQL, но и к любому другому языку/контексту.

Что касается XSS, так как htmlspecialchars экранирует специальные символы HTML <, >, &, " и ' ссылками символов HTML, он будет защищать вас, только если поместить данные в a context in HTML where <, >, &, ", or ' are the context delimiters, но не поможет, если другие разделители (например, unquoted HTML attribute value, или вы уже вошли в другой контекст в HTML (например, значение атрибута HTML, которое рассматривается как код JavaScript, например атрибуты события on…) или внутри HTML-элементов, которые являются другим языком, например <script>, или <style>, где применяются другие/дополнительные правила). Не говоря уже о так называемом DOM-based XSS, где вход не обрабатывается сервером а клиентским JavaScript.Таким образом, есть ситуации, в которых htmlspecialchars не поможет.

Однако, в отношении emulated or real prepared statements, вы должны быть в безопасности, поскольку уровень подключения к базе данных или СУБД позаботится о правильной обработке данных. Если, конечно, вы не still building the statement to be prepared by using improperly processed data.

Answer 4

SQL-инъекция - это только один случай более широкой угрозы code injection. То есть в любом случае, когда пользовательский ввод (или любой другой ненадежный контент) запускается как код.

Это включает в себя такие вещи, как eval(), но еще немало векторов. Ответ от @thebod включает ссылку на отличный поток StackOverflow: Exploitable PHP functions.

Даже SQL-инъекция не может быть решена 100% по параметрам или экранированию. Обе эти методы помогают только дезинфицировать значения в выражениях SQL. Вам также может потребоваться ввести пользовательский ввод для выбора таблиц, столбцов, ключевых слов SQL или целых выражений. Для тех, параметры и экранирование не помогают. Пример:

$sql = "SELECT * FROM mytable ORDER BY $sortcolumn $asc_or_desc"; 

В этом примере имя столбца для сортировки по и направление (ASC против DESC) основаны на переменных. Были ли переменные заданы с помощью доверенного ввода или параметры $ _GET использовались дословно, что привело к уязвимости SQL-инъекции?

Лучшим решением для этих случаев является белый список. То есть, возьмите пользовательский ввод, сравните его со списком имен столбцов, которые разрешены для этого динамического запроса, и если пользовательский ввод не соответствует одному из этих предопределенных вариантов, либо сбой, либо использование значения по умолчанию.