Há chances de deixar o sistema vulnerável.
Esse artigo, addslashes() Versus mysql_real_escape_string() cita um bom motivo para isso.
Em tradução livre:
Se eu quero tentar um ataque de injeção SQL contra um banco de dados
MySQL, tendo escapado aspas simples com uma barra invertida é uma
chatice.
Se você estiver usando addslashes(), no entanto, estou com sorte.
Tudo o que preciso fazer é injetar algo como 0xbf27
e addslashes()
retornará 0xbf5c27
, um caractere multi-byte válido seguido por um apóstrofo.
Em outras palavras, eu posso injetar com sucesso uma apóstrofo,
apesar de escapado. Isso porque 0xbf5c
é interpretado como um
caractere único, não dois. Ops, lá se vai a barra invertida.
Relacionado: Como prevenir injeção de código SQL no meu código PHP
Como citado na pergunta acima, prefira utilizar PDO
ou funções mysqli
.
Esse outro artigo explica como injetar um código SQL ao usar a função addslashes
.
A função addslashes
é amplamente usada para retornar uma string com barras invertidas antes de caracteres que precisam ser citados no banco de dados. Esses caracteres são aspas simples '
, aspas duplas "
, barra invertida \
e Null (o Caractere nulo).
- O apostrofo
'
retorna \'
.
' OR '1' = '1
vai retornar \' OR \'1\' = \'1
.
Em um conjunto de caracteres de byte único, a seqüência \'
é visto pelo MySQL como 0x5c
e 0x27
. Isto é \
→ 0 1 0 1 1 1 0 0 e '
→ 0 0 1 0 0 1 1 1.
Num conjunto de caracteres de vários bytes como Big5 um byte é usado para ascii e dois bytes são utilizadas para caracteres Big5. As vezes, há uma reviravolta quando um banco de dados MySQL, tabela ou coluna usa um conjunto de caracteres de vários bytes. Se um caractere Big5 tem como último byte o 0x5c
(valor para barra invertida), podemos enganar a função addslashes
a formar o caráter de dois bytes Big5 quando se insere a barra invertida.
¿
→ 1 0 1 1 1 1 1 1
'
→ 0 0 1 0 0 1 1 1
Quando essa seqüência é passada através da função addslashes
, uma barra invertida é inserida: 0xBF → ¿
0x5c → \
0x27 → '
.
¿
→ 1 0 1 1 1 1 1 1
\
→ 0 1 0 1 1 1 0 0
'
→ 0 0 1 0 0 1 1 1
O MySQL com o conjunto de caracteres Big5 interpreta essa string como sendo 0xbf5c
(0xBF
seguido por 0x5c
) e 0x27
( '
).
縗
→ 1 0 1 1 1 1 1 1 0 1 0 1 1 1 0 0
'
→ 0 0 1 0 0 1 1 1
Note que o apóstrofo não foi escapado quando processado pelo MySQL, e agora vai agir como um delimitador que permitirá injetar um código SQL.
Isso funciona por duas razões:
- O valor
0xbf5c
é um caractere de dois bytes válido em Big5.
- A função
addslashes
não verifica o conjunto de caracteres no MySQL.
Por isso, alguns conjuntos de caracteres de vários bytes permite um ataque direcionado em addslashes
que resulta em injeção de SQL bem sucedido.
Qualquer caractere de vários bytes definido com valor de 0x5c
no último byte de um caractere válido estava vulnerável. Conjuntos vulneráveis incluído Big5, GBK, e SJIS entre outros. Este problema foi corrigido no MySQL em 2006. Mas pessoas mal-intencionadas podem explorar maneiras de atacar usando esses conjuntos de caracteres.