7

Bom, a minha dúvida, é simples.

Tenho andado ultimamente, a ouvir muitas histórias a dizer que o $_GET no PHP é inseguro contra sql injection.

Poderiam-me dizer porquê?

1
  • Você pode deixar uma porta aberta para um ataque SQL-Injection que nada mais é do que a inserção de um código SQL em um parâmetro da URL que será enviado diretamente para o banco
    – user60252
    Commented 6/03/2017 às 22:52

1 Resposta 1

18

Não é o $_GET que é inseguro, o problema é como usa ele.

Os dados podem vir por $_GET, $_POST, $_COOKIE ou até uma string gravada previamente em um arquivo e posteriormente adicionada a execução de uma query.

O problema está em como passar diretamente os valores na query (concatenando na string), por exemplo:

"SELECT * FROM tabela WHERE nome LIKE '%{$_GET['nome']}%'"

Desta forma seria possível fazer algo como http://site/pagina.php?nome=';QUERY e geraria isto:

SELECT * FROM tabela WHERE nome LIKE '';QUERY'

Claro que no caso acima no máximo obteria uma falha de sintaxe, no geral a API não permite múltiplas queries, agora imagine que os dados de uma SELECT são baseados em um id salvo na sessão e os produtos que o usuário pode visualizar em um painel são somente os com a ID (id_dono) dele:

"SELECT * FROM produtos WHERE id_produto={$_GET['idproduto']} AND id_dono={$_SESSION['idautenticado']}"

Mas se digitar isso acessar isto http://site/pagina.php?idproduto=6 -- e geraria isto:

SELECT * FROM produtos WHERE id_produto=6 -- AND id_dono=5

Desta maneira o usuário ignorou tudo que vier depois de -- e pode obter os dados privados de produtos de outros usuários em um suposto painel aonde controlaria os seus produtos.

Outro exemplo seria manipular qualquer coluna de uma tabela:

"UPDATE dados SET nome='%{$_GET['nome']}%' WHERE id={$_GET['id']}"

Suponhamos que temos colunas que não deveria poder ser alteradas, mas se você fizer algo como http://site/pagina.php?id=1&nome=',outracoluna='xxxxxx você irá ter controle sobre qualquer coluna da tabela, pois vai gerar algo como:

UPDATE dados SET nome='',outracoluna='xxxxxx' WHERE id=1

Leia isto de como evitar:

Um exemplo simples é usar o bindValue ou bindParam:

PDO+bindValue:

$db = new PDO('mysql:host=localhost dbname=teste', 'usuario', 'senha');
    
$stmt = $db->prepare('SELECT * FROM tabela WHERE nome LIKE ?');

$stmt->bindValue(1, '%' . $_GET['busca'] . '%'); // passado diretamente

$stmt->execute();

PDO+bindParam:

$stmt = $db->prepare('SELECT * FROM tabela WHERE nome LIKE :consulta');

$stmt->bindParam(':consulta', $nome);

$nome = '%' . $_GET['consulta'] . '%';

Mysqli+bind_param:

mysqli só trabalha com bind_param, ou seja não existe um bind_value

$db = new mysqli('localhost', 'usuario', 'senha', 'teste');

$stmt = $db->prepare('SELECT * FROM tabela WHERE nome LIKE ?');

if(!$stmt){
    echo 'erro na consulta: '. $db->errno .' - '. $db->error;
} else {
    $stmt->bind_param('s', $nome);

    $nome = '%' . $_GET['consulta'] . '%';

    $stmt->execute();
}

bindValue e bindParam

  • bindParam trabalha com referencias, ou seja só deve-se usar variáveis e constantes. Se for uma variável o valor pode ser alterado posteriormente, mas antes do execute

  • bindValue trabalha com qualquer tipo de valor, variável constante ou passado diretamente

Leia mais em: Qual a diferença entre bindParam e bindValue?

3
  • Concretamente o que faz o bindValue?
    – Gonçalo
    Commented 6/03/2017 às 23:11
  • 1
    @Gonçalo muitas destas duvidas já tem resposta no site, de qualquer forma adicionei a resposta.
    – Syzoth
    Commented 6/03/2017 às 23:16
  • 1
    Excelente resposta, Obrigado!
    – Gonçalo
    Commented 6/03/2017 às 23:16

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .