-2

Estou estudando um pouco mais a fundo o PHP e em questão de segurança no PHP tenho utilizado o anti_injection padrão encontrado na internet afora e utilizado por muitos

function anti_injection($sql){
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"), "" ,$sql); // remove palavras que contenham sintaxe sql
$sql = trim($sql); // limpa espaços vazios
$sql = strip_tags($sql); // tira tags html e php
$sql = addslashes($sql); //  adiciona barras invertidas a um string
return $sql;

}

Mas ao fazer uns testes em sistema de login, eu utilizei um anti_injection na senha e depois fui convertê-la em MD5 para fazer verificação no banco de dados, minha senha cadastrada no banco de dados não estava me dando acesso no sistema, quando pensei em algo: minha senha tinha * (asterisco) e no preg_replace() o anti_injection retira os asteriscos

Minha pergunta é: necessita colocar anti_injection em uma senha, sendo que ela passará por MD5 antes de ser comparada no query

    $senha = $_POST['senha'];
    $senha_md5 = md5($senha);

    $query = "SELECT * FROM usuarios WHERE login = '$usuario' AND senha = '$senha_md5' AND status = '1'";

Deveria usar o anti_injection mas retirar o * (asterisco) do preg_replace ou não necessita usar o anti_injection??

3
  • 5
    É a segunda vez que eu vejo esse "anti injection" aqui no site. Esse código não tem pé nem cabeça, e eu me lembro que mesmo na postagem original, tem mais crítica do que qualquer coisa. Inclusive, na ocasião, o próprio autor comentou que não sabia ao certo o que estava fazendo. Sugestão: apague isso. PS: a extensão mysqli já tem função própria para isso, é a mysqli_real_escape_string, ou melhor que isso, você pode fazer uma query preparada, e passar os valores por bind. Update: achei uma terceira menção aqui: pt.stackoverflow.com/questions/74081
    – Largato
    Commented 1/04/2016 às 6:18
  • Então Bacco eu estudei a função e entendi ela sim, todo o tratamento feito nela tem sentido: LIMPAR OS ESPAÇOS VAZIOS, RETIRAR COMANDOS SQL, REMOVER TAGS HTML E PHP E POR FIM BARRAS INVERTIDAS Se a pessoa colocar itens inapropriados que caracterizam SQL Injection não fará o login e nem terá sucesso! O grande detalhe para mim seria o asterisco, mas que pelo MD5 não seria problema :) Commented 1/04/2016 às 6:47
  • 5
    Não tem o mínimo sentido isso. Não tem problema nenhum você ter comandos SQL numa string, desde que ela esteja devidamente escapada. Proibir certos textos é uma solução completamente sem sentido. Não vou insistir muito, mas espero que com o tempo você entenda que isso aí além de desnecessário, cedo ou tarde vai causar problemas.
    – Largato
    Commented 1/04/2016 às 12:42

2 Respostas 2

2

Seguinte cara, como você está convertendo para md5 somente isso já evitaria o ataque de sqlinjection, porém o recomendado é utilizar prepared statements da PDO.

Você teria que tratar o usuário de toda forma, e ai teria problemas com isso.

Usando o PDO ficaria mais ou menos assim:

$query = "SELECT * FROM tabela WHERE username = ? and password = ?";
$stmt = $pdo->prepare($query);

$username = $_POST["username"];
$password = md5($_POST["password"]);

$stmt->bindValue(1, $username);
$stmt->bindValue(2, $password);

$ok = $stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

De uma olhada na documentação do PDO: http://php.net/manual/pt_BR/class.pdo.php

Vale a pena dar uma olhada nela.

2
  • Vou dar uma estudada no PDO então, necessito... Mas enquanto não resolvo isso, posso utilizar o anti_injection no login e na senha manter apenas o MD5 que já me dá uma segurança básica? Commented 1/04/2016 às 5:20
  • 1
    Sim. Quando ele passar na função do md5 ela vai virar uma string em md5.. isso faz ser impossível adicionar ' (aspas) ou qualquer outro comando na string quando bater no SQL. Acredito eu :D Commented 1/04/2016 às 5:23
2

Não há necessidade alguma em converter ou remover nada a menos que a sua regra de negócio obrigue o usuário a criar uma senha com limitações. Isso, pessoalmente acho horrível pois quanto mais complexa a senha, melhor. Com isso, estaria apenas desincentivando o usuário a criar senhas seguras.

Mas enfim, isso depende do seu modelo de negócios. De repente pode ser um simples sistema onde só permitirá senhas alfanuméricas, ou somente numérico, enfim. Mas não creio que seja o seu caso.

Voltando ao assunto, se a string será comparada como um hash, simplesmente passe a string já convertida em hash na query SQL.

Vejamos na prática:

$senha = "'; delete from users; --"; // aqui temos uma injeção sql bem grosseira.
$query = "SELECT campo FROM tabela WHERE senha = '".$senha."'";

Isso produzirá uma query com uma injeção SQL:

SELECT campo FROM tabela WHERE senha = ''; delete from users; --'

Modo simples e lógico para resolver

Para o seu caso específico, conforme mencionei na primeira frase desta resposta, não há necessidade de filtrar injeção SQL.

Um hash MD5 não contém caracteres que poderiam comprometer a query com injeções.

Vou te mostrar o motivo com um simples exemplo:

$senha = "'; delete from users; --"; // aqui temos uma injeção sql bem grosseira.
$query = "SELECT campo FROM tabela WHERE senha = '".md5($senha)."'";

A query produzida será:

SELECT campo FROM tabela WHERE senha = '9dc8014996ca2a4a67e2448a6c9821e0';

Simples assim. No hash não há nada que ser filtrado contra SQL Injection.

Consegue enxergar onde tem algo que poderia comprometer uma query SQL nessa string 9dc8014996ca2a4a67e2448a6c9821e0?

Vamos avaliar a função que postou na pergunta:

function anti_injection($sql){
$sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"), "" ,$sql); // remove palavras que contenham sintaxe sql
$sql = trim($sql); // limpa espaços vazios
$sql = strip_tags($sql); // tira tags html e php
$sql = addslashes($sql); //  adiciona barras invertidas a um string
return $sql;

Traduzindo:

Não é permitido usar as palavras from, select, insert, delete, wherem, drop table, show tables.

Não é permitido usar os caracteres \, --, *, #.

Não é permitido usar espaços no início ou no fim.

Não é permitido usar tags HTML, CSS, JavaScript

Por fim, faz um escape em aspas (duplas ou singulares)

Todos esses processos são desnecessários e sem sentido.

O único processo útil seria o addslashes(), porém, recomendo que leia esse link: addslashes é o basico para a segurança?

Leia também esse: Usar o addslashes contra injeção de SQL é seguro?

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .