16

Usar o addslashes() realmente é seguro contra injeção de SQL? Se não, me diga o motivo.

Vou usar assim o meu addslashes()

<?php
$id = addslashes ( $_GET ["id"] ) ; /* Adicionei as barras */
echo stripslashes ( ( "$id" ) ) ; /* Removi as barras para exibir só as aspas no echo  */
?>

O modo que eu vou usar está correto ou vai deixar vulnerável o sistema?

4 Respostas 4

20

Há chances de deixar o sistema vulnerável.

Esse artigo, addslashes() Versus mysql_real_escape_string() cita um bom motivo para isso.

Em tradução livre:

Se eu quero tentar um ataque de injeção SQL contra um banco de dados MySQL, tendo escapado aspas simples com uma barra invertida é uma chatice.

Se você estiver usando addslashes(), no entanto, estou com sorte. Tudo o que preciso fazer é injetar algo como 0xbf27 e addslashes() retornará 0xbf5c27, um caractere multi-byte válido seguido por um apóstrofo.

Em outras palavras, eu posso injetar com sucesso uma apóstrofo, apesar de escapado. Isso porque 0xbf5c é interpretado como um caractere único, não dois. Ops, lá se vai a barra invertida.

Relacionado: Como prevenir injeção de código SQL no meu código PHP

Como citado na pergunta acima, prefira utilizar PDO ou funções mysqli.

Esse outro artigo explica como injetar um código SQL ao usar a função addslashes.

A função addslashes é amplamente usada para retornar uma string com barras invertidas antes de caracteres que precisam ser citados no banco de dados. Esses caracteres são aspas simples ', aspas duplas ", barra invertida \ e Null (o Caractere nulo).

  • O apostrofo ' retorna \'.
  • ' OR '1' = '1 vai retornar \' OR \'1\' = \'1.

Em um conjunto de caracteres de byte único, a seqüência \' é visto pelo MySQL como 0x5c e 0x27. Isto é \ → 0 1 0 1 1 1 0 0 e ' → 0 0 1 0 0 1 1 1.

Num conjunto de caracteres de vários bytes como Big5 um byte é usado para ascii e dois bytes são utilizadas para caracteres Big5. As vezes, há uma reviravolta quando um banco de dados MySQL, tabela ou coluna usa um conjunto de caracteres de vários bytes. Se um caractere Big5 tem como último byte o 0x5c (valor para barra invertida), podemos enganar a função addslashes a formar o caráter de dois bytes Big5 quando se insere a barra invertida.

  • ¿ → 1 0 1 1 1 1 1 1
  • ' → 0 0 1 0 0 1 1 1

Quando essa seqüência é passada através da função addslashes, uma barra invertida é inserida: 0xBF¿ 0x5c\ 0x27'.

  • ¿ → 1 0 1 1 1 1 1 1

  • \0 1 0 1 1 1 0 0

  • ' → 0 0 1 0 0 1 1 1

O MySQL com o conjunto de caracteres Big5 interpreta essa string como sendo 0xbf5c (0xBF seguido por 0x5c) e 0x27( ').

  • 1 0 1 1 1 1 1 1 0 1 0 1 1 1 0 0
  • ' → 0 0 1 0 0 1 1 1

Note que o apóstrofo não foi escapado quando processado pelo MySQL, e agora vai agir como um delimitador que permitirá injetar um código SQL.

Isso funciona por duas razões:

  1. O valor 0xbf5c é um caractere de dois bytes válido em Big5.
  2. A função addslashes não verifica o conjunto de caracteres no MySQL.

Por isso, alguns conjuntos de caracteres de vários bytes permite um ataque direcionado em addslashes que resulta em injeção de SQL bem sucedido.

Qualquer caractere de vários bytes definido com valor de 0x5c no último byte de um caractere válido estava vulnerável. Conjuntos vulneráveis incluído Big5, GBK, e SJIS entre outros. Este problema foi corrigido no MySQL em 2006. Mas pessoas mal-intencionadas podem explorar maneiras de atacar usando esses conjuntos de caracteres.

6
  • 1
    Muito obrigado!
    – Lucas C.S
    Commented 16/02/2015 às 1:00
  • 1
    Eu posso usar esse metodo assim então? $tarefa = mysql_real_escape_string ( $_GET [ "tarefa" ] ) ;
    – Lucas C.S
    Commented 16/02/2015 às 1:02
  • 1
    Muito obrigado mesmo!
    – Lucas C.S
    Commented 16/02/2015 às 1:04
  • 1
    Vou começar a usar PDO, mas não quero largar o velho mysql
    – Lucas C.S
    Commented 16/02/2015 às 1:05
  • 1
    é interessante usar o var_dump($tarefa); pra ver a função
    – Lucas C.S
    Commented 16/02/2015 às 1:54
3

Isto não é seguro. Especialmente se não estiver usando MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria documentação da função indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.

Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. mysqli_real_escape_string() deve ser usada no lugar, dependendo da forma como está se comunicando com o MySQL. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código e sabe evitar a injeção de um jeito adequado. Existem outras formas possíveis.

Existe uma página bem conhecida que mostra uma forma de ataque injetando SQL fazendo fazendo escape com barra.

Coloquei no GitHub para referência futura.

0
-1

Crie sempre uma função de anti_injection, é o que tenho utilizado sempre para segurança em sistemas de logins

// Função de Eliminação de qalquer comando que possa invadir ou alterar o sistema de forma indevida
function anti_injection($sql){
    $sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"), "" ,$sql); // remove palavras que contenham sintaxe sql
    $sql = trim($sql); // limpa espaços vazios
    $sql = strip_tags($sql); // tira tags html e php
    $sql = addslashes($sql); //  adiciona barras invertidas a um string
    return $sql;
}

É isso que tenho usado, apenas estou em um dilema com as senhas em MD5, quando coloco a senha em MD5 eu não utilizo o anti_injection, pois o MD5 já "protege", e se usar o anti_injection a senha não pode conter * (asteriscos) e no meu caso utilizo muito * nas senhas

3
  • 1
    Não era mais fácil usar algum sistema de parametrização pras queries?
    – Jéf Bueno
    Commented 20/05/2019 às 18:05
  • 2
    @LINQ pior que não usar a ferramenta nativa é detonar strings válidas na tentativa de sanitizar.
    – Largato
    Commented 20/05/2019 às 18:12
  • @Bacco Nem tinha atentado a isso, e nem que a resposta já tem 2 anos hehehe
    – Jéf Bueno
    Commented 20/05/2019 às 18:31
-1

Pode usar também o preg_replace() desta forma:

$text = "090933ojeoejf'@#$%";

/* Para deixar apenas letras */
$text = preg_replace("/[^[:alpha:]_]/", "", $text);

/* Para deixar letras e números */
$text = preg_replace("/[^[:alnum:]_]/", "", $text); 

se quiser pesquisa mais sobre esta função.

3
  • 2
    Mas e se for permitido haver símbolos? E como esse código é mais seguro que a função addslashes?
    – Woss
    Commented 17/08/2017 às 22:14
  • @AndersonCarlosWoss certamente este codigo é mais seguro, que addslashes, porque a probabilidade de SQli é minima ja que utiliza simbolos, na parte dos símbolos(acentuação, retirando operadores), é desnecessário e não vejo utilidade nenhuma passar símbolos(retirando operadores) via $_GET como o autor citou
    – 13dev
    Commented 17/08/2017 às 22:44
  • Voce adicionar mais caracteres para validar (permitir), e como foi dito e exemplificado la em cima, a addslashes() tem prechas como o caractere binario mencionado. fiz uns testes aqui mais não no banco fiz para remover de dados passados na URL, e funciona muito bem. Commented 17/08/2017 às 22:45

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .