É possível realizar injeção de sql em stored procedures?
Depende da forma como você cria essas procedures, de qualquer forma não é seguro deixar o usuário informar qualquer valor. Isso porque o usuário pode digitar um texto muito longo e acabar tendo acesso a mensagens de erro (caso estejam habilitadas e não filtradas). Isso irá deixar exposto sua estrutura de dados e como você trabalha com ele.
E obviamente, ele saberá que você não trata os dados de entrada e saída.
Estrutura de tabelas:
+-------------+--------------+------+-----+---------+----------------+
| Field | Type | Null | Key | Default | Extra |
+-------------+--------------+------+-----+---------+----------------+
| id | int(11) | NO | PRI | NULL | auto_increment |
| user | varchar(32) | NO | | NULL | |
| password | varchar(128) | NO | | NULL | |
| last_access | timestamp | NO | | NULL | |
+-------------+--------------+------+-----+---------+----------------+
Stored Procedures vunerável:
DROP PROCEDURE IF EXISTS login;
DELIMITER //
CREATE PROCEDURE login( u VARCHAR(255), p VARCHAR(255) )
BEGIN
SET @query = CONCAT("SELECT * FROM users WHERE `user` = '", u, "' AND `password` = '", p,"'");
SELECT @query;
PREPARE stmt FROM @query;
EXECUTE stmt;
END
//
DELIMITER ;
Veja que se eu executar a query abaixo, o MySQL irá retornar todos os registros.
CALL login("' OR '1' = '1", "' OR '1' = '1");
Stored Procedures invunerável mais segura:
DROP PROCEDURE IF EXISTS login2;
DELIMITER //
CREATE PROCEDURE login2( u VARCHAR(255), p VARCHAR(255) )
BEGIN
SELECT * FROM users WHERE `user` = u AND `password` = p;
END
//
DELIMITER ;
Veja que se eu executar a query abaixo, o MySQL não irá retornar os registros.
CALL login2("' OR '1' = '1", "' OR '1' = '1");
Isso ocorre, pois da segunda forma as Stored Procedures são pré compilados. Em outras palavras, o banco de dados cria esse software interno antes de usá-lo. Neste caso, somente o código de programa é interpretado sem qualquer influência de parâmetros.
Seria possível realizar SQL Injection em uma procedure com bindParam
do PDO?
A vantagem é que o valor do parâmetro (com bindParam
) nunca é interpolado na sequência da consulta.
Então sim, os parâmetros de consulta ajudam você a evitar essa vulnerabilidade de segurança. Porém, é necessário ter consciência e não fazer de qualquer jeito no código MySQL.
Referências:
https://stackoverflow.com/questions/1314521/how-safe-are-pdo-prepared-statements
https://security.stackexchange.com/questions/68701/how-does-stored-procedure-prevents-sql-injection
https://blogs.msdn.microsoft.com/brian_swan/2011/02/16/do-stored-procedures-protect-against-sql-injection/