1

Nesse caso, estou passando o WHERE através da variável $where. O sistema pode sofrer SQL Injection? Como evita-lo nesse caso?

Por exemplo: select nome from usuario where $where;

$where = "cod = 10";

public static function getUsuario($where){
    return Usuario::all(array(     
        'select' => 'nome',
        'conditions' => array($where)
    ));
}
9
  • É algum framework? Ou um código seu?
    – rray
    Commented 5/05/2015 às 15:38
  • To utilizando o PHP ActiveRecord + Smarty Commented 5/05/2015 às 15:39
  • 1
    Assim? Do pé para a mão sem ver mais código nenhum? Sim, estás a um passo de receber um SQL Injection. No entanto, se alguma das tuas frameworks usar mysqli_* acho que não. Pelo sim, pelo não, eu escapava esse input só para não ter surpresas ao fim do dia :)
    – MoshMage
    Commented 5/05/2015 às 15:46
  • Qual a vantagem "escapar" o input? Commented 5/05/2015 às 15:49
  • Escapar o input ajuda a garantir que os dados contidos em $where sejam dados mesmo, não código. Mas não sei se é "à prova de balas" (e de todo modo, se esses dados já estiverem sendo escapados escapar de novo vai provocar um duplo escape, o que é ruim). De onde está vindo o valor de $where? Do usuário?
    – mgibsonbr
    Commented 5/05/2015 às 15:50

2 Respostas 2

3

Se pode ocorrer ou não eu não sei responder, vai depender da framework utilizada. Mas evitar deve ser bem mais fácil, é só validar o campo, ver se seu formato corresponde àquilo que você espera dele (e que portanto não vai conter código malicioso, ou qualquer código que seja, e sim dados).

Seu campo $where é composto da concatenação de $nome e $valor, certo? Um nome normalmente é composto de letras, números e underscore (_). Um valor normalmente é composto de dígitos, talvez um menos na frente e talvez um ponto. E eu estou supondo que você os concatena usando um =, certo? Então:

  1. Valide o $nome como sendo um nome; mesmo que ele venha do seu próprio código (não custa nada, fica como "teste de sanidade":

    if (preg_match("/^\w+$/", $nome)) {
        ...
    } else {
        /* Não continue! Reporte um erro! */
    }
    
  2. Valide o $valor como sendo um número; o exemplo abaixo é para um decimal simples, em formato brasileiro/europeu (não americano), ajuste-o de acordo com suas necessidades:

    if (preg_match("/^-?\d+(\.\d{3})*(\,\d+)?$/", $valor)) {
        ...
    } else {
        /* Não continue! Reporte um erro! */
    }
    
  3. Concatene $nome e $valor; não use aspas em volta do número:

    $condicao = $nome . " = " . $valor
    
  4. Alternativamente, se o $valor é uma string que pode conter - e /, além de letras, números e underscore (e só isso):

    if (preg_match("/^(\w|\/|-)+$/", $valor)) {
    

    E para concatenar:

    $condicao = $nome . " = '" . $valor . "'"
    

    No caso, sabemos que nem - nem / quando dentro de uma string são suficientes para causar problemas (uma aspa ou talvez uma \ seriam), e como não está sendo usado um LIKE (caso em que _ seria um problema), então deve ser seguro.

Etc. Se $nome possui um valor correto, $valor possui um valor correto, a concatenação possui a sintaxe correta, e todos os elementos do seu array $where foram montados da forma correta, então não há por onde uma Injeção de SQL ocorrer. Tenham os componentes sido "escapados" ou não, não faz diferença, pois o escape os deixará inalterados.

Validar os valores é uma alternativa melhor do que aceitar qualquer formato de entrada e tentar sanitizá-la. Inclusive, sanitizar algo que não se sabe o que é é temerário (vai que você "escapou" corretamente na hora de colocar no banco, mas ao tirar dele - e "desescapá-lo" - você o incluiu no HTML de resposta, sem nenhuma checagem, o resultado será um XSS ou similar...). Use essa estratégia sempre que o formato dos dados de entrada for previsível e bem definido, e só terá de se preocupar com os campos mais abertos (texto livre, por exemplo).

5
  • meu valor pode ser string e inteiro, e com conter "-" e "/"... Commented 5/05/2015 às 17:45
  • @PauloCosta Atualizei a resposta com um exemplo. Que eu saiba, nenhum desses caracteres pode causar problemas, desde que o valor esteja dentro das aspas, como se espera de uma string (se estivesse fora, um -- poderia causar problemas). Como falei no final, essa resposta só vale para quando o campo é fechado (i.e. possui um formato rígido), se o mesmo fosse aberto (qualquer coisa vale) então é mais complicado. O ideal mesmo seria usar queries parametrizadas, mas como não sabemos se sua framework suporta isso ou não (pelo "jeitão" do seu código eu diria que não) esse é o meio mais garantido.
    – mgibsonbr
    Commented 5/05/2015 às 18:02
  • Muito boa sua resposta! Obrigadao Commented 6/05/2015 às 12:06
  • Se eu quiser q minha String tenha "." e " _ "?? Commented 6/05/2015 às 12:37
  • @PauloCosta _ já é contemplado pelo \w. O . precisa ser escapado com \ (ele é um caractere especial na regex). O resultado então é: /^(\w|\/|-|\.)+$/
    – mgibsonbr
    Commented 6/05/2015 às 22:43
0

Esse código só tem problemas de SQL injection se esse parâmetro vier de input do user.

Se esse where não vem do browser / utilizador, não tem problema.

Caso seja user input, deve sempre se usado escape no php, ou então parâmetros nos queries, nunca input directo.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .