204

Desenvolvi uma página em PHP para uso interno da empresa que trabalho e apenas pouquíssimas pessoas a utilizam. Através dessa página é possível fazer algumas consultas, inserções, alterações e remoções de dados de uma tabela em um banco de dados MySQL, porém eu acredito que meu código em PHP não está protegido contra injeção de código SQL, por exemplo:

//----CONSULTA SQL----//
$busca = mysql_query ('insert into Produtos (coluna) values(' . $valor . ')');

Logo, digamos que o usuário usar a sentença: 1); DROP TABLE Produtos; para ao campo valor o comando ficaria:

insert into Produtos (coluna) values(1); DROP TABLE Produtos;

Ele vai inserir um novo registro cujo o campo coluna será 1 e logo em seguida ele vai deletar a tabela Produtos.

Como posso melhorar meu código para prevenir essa situação?

2
  • 3
    Existe muitas formas de prevenir o SQL injection. Recomendo a seguinte leitura: bobby-tables.com
    – urb
    Commented 28/10/2014 às 9:58
  • A query montada acredito que seria $busca = mysql_query ('insert into Produtos (coluna) values('1); DROP TABLE Produtos;')');, talvez não fosse aceita no banco, porém sempre faça o tratamento dos dados recebidos pelo usuário antes de interagir com o banco...removendo caracteres especiais. Commented 14/02/2016 às 13:25

9 Respostas 9

200
+50

1 - NÃO utilize as funções mysql_* pois as mesmas são consideradas obsoletas (deprecated) e logo serão removidas. Mais alguns motivos para não usá-las.

Utilize prepared statements, isso vai reduzir a vulnerabilidade de sql injection, pois a consulta é dividida em duas partes, o comando sql e as marcações(? ou :nome) que serão substituidos pelos valores, o primeiro é executado já o segundo mesmo contendo uma instrução sql válida será tratado como texto puro.

As marcações não podem substituídas por nomes de databases, tabelas/views, colunas e valores nas clásulas ORDER BY ou GROUP BY.

Existem dois drivers que suportam isso, o PDO e o mysqli.

Exemplo de prepared staments com PDO:

$db = new PDO('mysql:host=localhost dbname=teste', 'usuario', 'senha');

$sql = 'INSERT INTO tabela(campo1, campo2, campo3) VALUES(?, ?, ?)';

$stmt = $db->prepare($sql);

$stmt->bindValue(1, 'valor1');
$stmt->bindValue(2, 'valor2');
$stmt->bindValue(3, 'valor3');

$stmt->execute(); // executa o insert ou outra sql

Exemplo de prepared staments com mysqli:

$db = new mysqli('localhost', 'usuario', 'senha', 'teste');

$sql = 'INSERT INTO tabela(campo1, campo2, campo3) VALUES(?, ?, ?)';

$stmt = $db->prepare($sql);
if(!$stmt){
    echo 'erro na consulta: '. $db->errno .' - '. $db->error;
}

$var1 = 1;
$var2 = 'foo';
$var3 = 1.99;
$stmt->bind_param('isd', $var1, $var2, $var3);
$stmt->execute();

A string isd corresponde aos tipos de dados passados que são integer, string, double e b para campos blob conforme o manual.

3
  • 5
    Para completar utilize as funções que limpam os dados recebidos por POST ou GET. Procure sempre validar suas variáveis antes de passá-las para um SQL. Utilize as funcões filter_input e filter_var para lhe auxiliar. Veja a documentação. php.net/manual/pt_BR/function.filter-input.php
    – marcusagm
    Commented 3/02/2014 às 13:08
  • @Math A extensão mysql_* foi depreciada e mostra um E_DEPRECATED quando conectando a base de dados a partir do PHP 5.5 (mas claro que é melhor adotar prepared statements independente da versão que você usa) Commented 3/02/2014 às 13:10
  • 1
    PDO não é o mais recomendado para consultas preparadas, a preparação de consultas é emulada no lado do cliente e por isso é mais lenta.
    – mlemos
    Commented 3/02/2014 às 21:14
53

Existem várias formas de se prevenir SQLInjection. Dois exemplos são:

Recomendo que dê uma lida na segunda opção e adote o PDO para manipulação de sua base de dados.

Leia também: mysql_real_escape_string() versus Prepared Statements

7
  • 3
    Prepared Statements parece a forma mais correta mesmo, pois ele não permite os caracteres da injeção. A outra opção ainda é válida ou ela também está depreciada?
    – Math
    Commented 3/02/2014 às 12:57
  • 4
    O mysql_real_escape_string já é setado como deprecated no PHP 5.5.0 e será removida em futuras versões. A PDO é sim a mais correta.
    – William
    Commented 3/02/2014 às 12:59
  • Eu assisti uma video-aula que o cara usava "mysqli_real_escape_string". Não existe? Commented 20/08/2014 às 23:21
  • mysql_real_escape_string faz parte do pacote do mysql_* no PHP. Essas funções já estão disparando mensagem de E_DEPRECATED. Daqui a pouco se tornarão obsoletas e - espero - todos deverão migrar para o PDO ou mysqli. Commented 14/08/2015 às 20:17
  • @IWannaKnow existe e é eficaz.
    – Largato
    Commented 25/06/2016 às 19:48
41

Não é mais recomendado a utilização da biblioteca mysql será descontinuada nas próximas versões.

Para tanto existe algumas soluções:

https://www.php.net/mysqli

http://www.php.net/manual/pt_BR/class.pdo.php

http://medoo.in/ esta é a que eu uso. Já tem muitas sql genérica pronta! Vale a pena conferir.

OBS: a biblioteca mais rápida é a mysqli, pois por baixo as duas usam mysqli.

36

Simplesmente não use string concatenation, use parametros SQL sempre, ou uma lib que o faça por si.

No seu exemplo com parametro o user inseriria '1); DROP TABLE Produtos;' na coluna, se esta o permitisse, caso contrário receberia um estoiro.

Na minha framework eu estou a usar o NotORM para a camada de dados, e previne muitos problemas inerentes ao SQL injection, e usa também a interface PDO ;) http://pedrosimoes79.github.io/silverbullet/

No caso do NotORM usam o PDO::quote

http://www.php.net/manual/en/pdo.quote.php https://groups.google.com/forum/#!topic/notorm/3kR2o9iI5xQ

usando este código no Model:

function getHelloworldMySQL()
{
    $this->db->hello2->test->insert([
        'text' => "'Hello with a drop'); DROP TABLE Produtos;"
    ]);

    foreach ($this->db->hello2->test as $id => $hello) {
        return $hello['text'];
    }
}

obtemos ;)

inserir a descrição da imagem aqui

30

Achei estranho ninguém citar

Stored Procedure.

Além de evitar SQL Injection, você ganha perfomance, visto que elas são compiladas.

Create PROCEDURE stp_ExemploInsert
@nome varchar(200),
@idade smallint

as

BEGIN
Set nocount on; --não traz nenhum retorno de linha extra;

Insert tabela_exemplo (nome,idade) values (@nome, @idade)

END

Dai no PHP, não me recordo bem mas era

$stmt = mssql_init('Nome_Procedure');
mssql_bind($stmt, '@nome','Felipe Pena',SQLVARCHAR,false,false,0);
mssql_bind($stmt, '@idade ',25,SQLINT2);
mssql_execute($stmt);
mssql_free_statement($stmt);

Update 2023

Você pode chamar a stored procedure no php assim:
// Definir os parâmetros
$nome = "ExemploNome";
$idade = 25;

// Montar a chamada da stored procedure
$sql = "{call stp_ExemploInsert (?, ?)}";

// Preparar a execução da stored procedure
$stmt = sqlsrv_prepare($conn, $sql, array(&$nome, &$idade));
sqlsrv_execute($stmt)

http://php.net/manual/en/function.mssql-execute.php

OBS: Stored Procedure é invulnerável, desde que você não faça algo assim!

CREATE PROCEDURE getDescription
   @vname VARCHAR(50)
AS
   EXEC('SELECT description FROM products WHERE name = '''+@vname+ '''')
RETURN

Que alias isso é um horror! Cursores também pode ser perigosos a SQL injector, porém é bem mais complexo.

2
  • 3
    Seu exemplo continua vulnerável a SQL Injection, pois não existe nenhum tratamento ao passar os parâmetros nome e idade.
    – gmsantos
    Commented 3/02/2015 às 14:54
  • na stored procedure vc enviando os valores como parametros não existe problema de injeção, não sei como em PHP chamar a storedprocedure para enviar como parametro... mas fazendo isso é 100% seguro..
    – Dorath
    Commented 6/02/2015 às 18:44
22

Uma boa forma de previnir injeções de SQL é também já utilizando soluções prontas para este.

Talvez, a utilização de Frameworks Full Stacks - que já possuem várias soluções prontas para o programador, desde validações até segurança - possa ajudar em relação à segurança de sua aplicação.

Caso não haja necessidade da utilização de um Framework Full Stack, eu optaria pela utilização de um framework para abstração de banco de dados (ORMs), como o Doctrine 2.

Digo isso porque os Frameworks geralmente são projetados também com esse tipo de preocupação: A segurança.

12

Além de parar de utilizar as bibliotecas depreciadas como já foi dito como resposta, você deve checar os seus queries para poder verificar se algum deles está passando algo sensível sem criptografia, se algum formulário seu está passando métodos em GET e etc.

Existem várias técnicas para você poder se prevenir só depende de você encontrar qual seria a melhor no seu caso e a utilizar.

1
  • Além disto, não deixe nenhuma query com busca muito aberta podendo retornar dados de outra linha ou coluna de seu DB Commented 3/01/2016 às 4:02
10

Pode-se usar junto com as prepared statements a função filter_var(). Mas calma, filter_var tem várias utilidades, por exemplo:

filter_var('[email protected]', FILTER_VALIDATE_EMAIL);//retorna boolean true
filter_var('[email protected]\\', FILTER_SANITIZE_EMAIL);//retorna string "[email protected]"

Vocé pode estar dando uma olhada na documentação para uma abordagem sobre SQL injection, que voce não vai achar de cara, apenas de uma olhada nas constantes que podem ser usadas.

5

Eu uso o framework Doctrine ORM para a camada de dados. Frameworks evitam SQL injection.

Para uma visão geral do Doctrine: http://docs.doctrine-project.org/projects/doctrine-orm/en/latest/tutorials/getting-started.html cobrindo instalação com o composer e exemplo básico de Mapeamento Objeto-Relacional.

Sobre sua pergunta, utilizando a inserção de um produto, essa documentação tem um exemplo para o mesmo caso. É simples e você fica protegido.

<?php
use Doctrine\ORM\Annotation as ORM;
/**
 * @ORM\Entity @ORM\Table(name="products")
**/
class Product
{
/** @ORM\Id @ORM\Column(type="integer") @ORM\GeneratedValue **/
protected $id;

/** @ORM\Column(type="string") **/
protected $name;

// .. (other code)
}

A inserção:

<?php
// create_product.php <name>
require_once "bootstrap.php";

$newProductName = $argv[1];

$product = new Product();
$product->setName($newProductName);

$entityManager->persist($product);
$entityManager->flush();

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .