2

Olá! Estou passando por maus bocados, já tentei TODAS as técnicas que encontrei na internet que possam impedir o SQL Injection, e mesmo assim o Havij consegue pegar meus dados.

Este é o código da página que estou fazendo o ataque:

$id = mysql_real_escape_string($_GET['id']);

$sql = $id;
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|or|=|#|\*|--|\\\\)/"),"",$sql);
$sql = trim($sql);
$sql = strip_tags($sql);
$sql = addslashes($sql);
$id = $sql;
$id = intval($id);

// Connect to the database
$mysqli     = new mysqli($MySQL_HOST, $MySQL_USER, $MySQL_USER_PASS, $MySQL_DB) or die("Erro ao conectar ao bando de dados");   

// Prepare the query
$sql        = $mysqli->prepare('SELECT autor, noticia, data, titulo, tipo, logo FROM noticias WHERE id = ?') or die("erro ao preparar consulta");

// Bind the parameter, i --> int, datatype of column
$sql->bind_param('i', $id);

// Execute SQL
$sql->execute() or die("erro ao executar consulta");

$sql->bind_result($autor, $noticia, $data, $titulo, $tipo, $imagem);

$sql->fetch();

$sql->close();

Já tentei até tirar o parâmetro direto da consulta do sql, trocando ele por um número fixo. Já tentei tirar a linha de pesquisa, tirar a linha de conexão, e até AMBAS! O site nem sequer funciona mas o havij ataca igual um louco! Não tem lógica que explique! E pra piorar, ativei os logs do sql achando que ele poderia estar pegando a conexão sozinho e mandando os prompts sozinho ou por outra página, e toda a resposta que tenho é que ele faz meia duzia de pesquisas na tabela com o id 999999, nada diferente!. Agora como um programa pega todo o meu banco de dados com meia duzia de SELECTs em um id inexistente? inserir a descrição da imagem aqui

2
  • Se você tira a linha da conexão, não tem como a ferramenta injetar SQL por aquela página. Ela pode ter guardado seus dados de acesso de uma tentativa anterior que deu certo.
    – bfavaretto
    Commented 14/07/2015 às 2:03
  • Seu log de SQL nao deve estar pegando todas as consultas. Tente usar um monitor de SQL diferente e monitore! Tente alterar a senha do banco, pro caso de ele ter os dados da sua conexão. Commented 17/07/2015 às 15:05

1 Resposta 1

1

Se você quiser tentar evitar mais ainda uma sql injection, tente utilizar uma "stored procedure", assim o mysql aceitará qualquer código sql como uma variável, independentemente do que for digitado.

Minha especialidade é oracle, e pelo menos no meu caso as vulnerabilidades caem muito ao utilizar uma stored procedure. No caso do Oracle, utilizo um parâmetro NUMERIC, equivalente ao INT para entrada e um parâmetro SYS_REFCURSOR, que seria a consulta como saída. Como a procedure espera um inteiro como parâmetro, ele dará erro na procedure caso seja inserido um sql e a função retornará uma falha. Parece-me que o MySql não precisa desse SYS_REFCURSOR e retorna a consulta como resultado sem precisar da variável de saída

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .