php sql injection 보안

php sql 인젝션 예방

- magic_quote_gpc

Sets the magic_quotes state for GPC (Get/Post/Cookie) operations. When magic_quotes are on, all ' (single-quote), " (double quote), \ (backslash) and NUL's are escaped with a backslash automatically.

이것은 자동으로 addslashes() 를 하는 옵션입니다.

하지만 sql 문법에 완전히 맞지 않습니다.

물론 \ 로 escape 하는 문법을 지원해 주긴 합니다만, 원래의 문법은 아닙니다.

게다가 ; 는 escape 시키지 않으니 사소한 실수로 큰 보안구멍이 발생할 수 있습니다.

- *_escape_string()

각 sql 별로 escape_string() 이라는 함수가 제공됩니다.

mysql_escape_string('문자열') 로 mysql 에 맞는 escape 된 문자열로 변환해 줍니다.

일반적으로 sql 의 문법은 문자열을 작은따옴표(') 로 묶고, 작은따옴표를 표현하는것은 작은따옴표 2번 입니다.('')

이것 '참' 좋군 이라는 문자열을 escape 시킨다면

이것 ''참'' 좋군 이 되고

query('INSERT INTO table VALUES (\'이것 \'\'참\'\' 좋군\');') 이 될 것입니다.

보통은 post 받은 문자열을 db 에 넣을 것이므로

$_POST = array_map('mysql_escape_string', $_POST); 로 한번에 escape 시키고 사용하면 됩니다.

주의할 것은 select 한 결과를 그대로 재사용할 때 다시 escape 시켜야 한다는 것입니다.

result 는 escape 되지 않은 문자열 입니다.

- prepared query

좀더 안전하고 편리한 방법으로 prepared query 를 이용하는 방법이 있습니다.

INSERT INTO table (a, b) VALUES (:a, :b) 라는 쿼리를 미리 prepare (컴파일?) 시킵니다.

이 단계에서는 인젝션이 일어날 문자열이 아예 포함되지 않은채 prepare 됩니다.

그 다음 prepare 된 쿼리에 문자열을 bind 하여 쿼리를 실행합니다.

bind 단계에서는 파싱하지 않으므로 escape 시키지 않아도 안전합니다.

mysqli, pg 등이 제공하고, PDO 를 이용하면 손쉽게 적용할 수 있습니다.

$db = new PDO(접속);

$stmt = $db->prepare('INSERT INTO table (a, b) VALUES (:a, :b)');

$fields[':a'] = '\'; DELETE FROM table;\';

$fields[':b'] = '\'; DELETE FROM table;\';

$stmt->execute($fields);

bind 값인 :a, :b 는 문자열이든 수이든 따옴표를 쓰지 않습니다.

위의 예제 외에 bindParam() 함수를 이용하여 & 참조변수로 만들어 변수에 값만 채우고 execute() 하면 되는 방식도 있습니다.

어떻게 뚫을 수 있지? 아무리 생각해도 이 코드에서는 뚫을 수 없어. 그러니 귀찮게 escape 안시켜도 돼.

오만입니다. 개인의 생각에는 한계가 있고, 뚫린 후에는 늦습니다.

escape 는 프로그래머의 기본 예절 입니다.

출처 : http://phpschool.com