comme mon vieil ami l'a dit: Félicitations, vous venez d'attaquer avec succès un programme utilisant mysql_real_escape_string() ...

Le Mauvais

mysql_set_charset() ne peut pas aider, car cela n'a rien à voir avec les jeux de caractères; ni ne peut mysqli::real_escape_string() , puisque c'est juste un emballage différent autour de cette même fonction.

le problème, si ce n'est déjà évident, est que l'appel à mysql_real_escape_string() ne peut pas savoir avec lequel le caractère littéral sera cité, comme c'est laissé au développeur de décider à un moment ultérieur. Ainsi, dans le mode NO_BACKSLASH_ESCAPES , il y a littéralement no way que cette fonction peut échapper en toute sécurité à chaque entrée pour une utilisation avec des citations arbitraires (du moins, pas sans doublage de caractères qui ne nécessitent pas de doublage et donc munging vos données).

Le Truand

ça empire. NO_BACKSLASH_ESCAPES peut ne pas être si rare dans la nature en raison de la nécessité de son utilisation pour la compatibilité avec la norme SQL (voir par exemple la section 5.3 de la spécification SQL-92 , à savoir la production grammaticale <quote symbol> ::= <quote><quote> et l'absence de tout sens particulier donné à backslash). En outre, son utilisation a été explicitement recommandé comme une solution de rechange à la (depuis longtemps fixe) bug que le post de ircmaxell décrit. Qui sait, certains ad peuvent même le configurer pour qu'il soit activé par défaut comme moyen de décourager l'utilisation de méthodes d'échappement incorrectes comme addslashes() .

en outre, le mode SQL d'une nouvelle connexion est défini par le serveur en fonction de sa configuration (qu'un utilisateur SUPER peut changer à tout moment); ainsi, pour être certain du comportement du serveur, vous devez toujours spécifier explicitement votre mode souhaité après la connexion.

La Grâce Salvatrice

aussi longtemps que vous toujours explicitement définit le mode SQL pour ne pas inclure NO_BACKSLASH_ESCAPES , ou cite des chaînes de caractères MySQL en utilisant le caractère mono-citation, ce bogue ne peut pas faire marche arrière: respectivement escape_quotes_for_mysql() ne sera pas utilisé, ou son hypothèse au sujet des caractères guillemets qui doivent être répétés sera correcte.

pour cette raison, je recommande que n'importe qui utilisant NO_BACKSLASH_ESCAPES permet aussi ANSI_QUOTES mode, car il forcera l'utilisation habituelle de unique cité des littéraux de chaîne. Notez que cela n'empêche pas L'injection de SQL dans le cas où des littérales doubles sont utilisées-cela réduit simplement la probabilité que cela se produise (parce que les requêtes normales et non malveillantes échoueraient).

en AOP, à la fois sa fonction équivalente PDO::quote() et son émulateur de déclaration préparé font appel à mysql_handle_quoter() -ce qui fait exactement cela: il assure que les évadés literal est cité En guillemets simples, de sorte que vous pouvez être certain que PDO est toujours à l'abri de ce bug.

à partir de MySQL v5.7.6, ce bug a été corrigé. Voir change log :

fonctionnalité ajoutée ou modifiée

• changement Incompatible: une nouvelle fonction de L'API C, mysql_real_escape_string_quote() , a été implémenté en remplacement de mysql_real_escape_string() parce que cette dernière fonction peut ne pas coder correctement les caractères lorsque le mode NO_BACKSLASH_ESCAPES SQL mode est activé. Dans ce cas, mysql_real_escape_string() ne peut pas échapper aux caractères de citation sauf en les doublant, et pour ce faire correctement, il doit connaître plus d'informations sur le contexte de citation que ce qui est disponible. mysql_real_escape_string_quote() prend un argument supplémentaire pour spécifier le contexte de citation. Pour les détails d'utilisation, voir mysql_real_escape_string_quote () .

  Note

  Les Applications

  doivent être modifiées pour utiliser mysql_real_escape_string_quote() , au lieu de mysql_real_escape_string() , qui maintenant échoue et produit une CR_INSECURE_API_ERR erreur si NO_BACKSLASH_ESCAPES est activé.

  Références: Voir Aussi Le bogue n ° 19211994.

Safe "Exemples D'15191080920"

Pris avec le bug expliqué par ircmaxell, les exemples suivants sont tout à fait sûrs (en supposant qu'on utilise MySQL après 4.1.20, 5.0.22, 5.1.11; ou qu'on n'utilise pas D'encodage de connexion GBK/Big5):

mysql_set_charset($charset);
mysql_query("SET SQL_MODE=''");
$var = mysql_real_escape_string('" OR 1=1 /*');
mysql_query('SELECT * FROM test WHERE name = "'.$var.'" LIMIT 1');

...parce que nous avons explicitement sélectionné un mode SQL qui n'inclut pas NO_BACKSLASH_ESCAPES .

mysql_set_charset($charset);
$var = mysql_real_escape_string("' OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

...parce qu'on cite notre chaîne de caractères avec des guillemets.

$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(["' OR 1=1 /*"]);

...parce que les déclarations préparées par AOP sont immunisées contre cette vulnérabilité (et celle d'ircmaxell aussi, à condition que vous utilisiez PHP≥5.3.6 et que le jeu de caractères ait été correctement défini dans le DSN; ou que l'émulation des déclarations préparées ait été désactivée.)

$var  = $pdo->quote("' OR 1=1 /*");
$stmt = $pdo->query("SELECT * FROM test WHERE name = $var LIMIT 1");

...parce que la fonction quote() de PDO échappe non seulement au littéral, mais le cite aussi (en caractères ' ); notez que pour éviter le bug de ircmaxell dans ce cas, vous doit utiliser PHP≥5.3.6 et ont correctement défini le jeu de caractères dans le DSN.

$stmt = $mysqli->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$param = "' OR 1=1 /*";
$stmt->bind_param('s', $param);
$stmt->execute();

...parce que les déclarations préparées par MySQLi sont sûres.

Enveloppant

ainsi, si vous:

• natif déclarations préparées à l'avance

ou

• utiliser MySQL v5.7.6 ou plus tard

ou

• dans ajout à l'emploi d'une des solutions dans ircmaxell résumé, l'utilisation d'au moins l'un de:

  • AOP;
  "1519770920 d'une" cité des littéraux de chaîne; ou
  • un mode SQL explicitement défini qui ne comprend pas NO_BACKSLASH_ESCAPES

...ensuite, vous devrait être complètement sûr (vulnérabilités en dehors de la portée de la chaîne s'échappant de côté).