1

É possível realizar injeção de SQL em Stored Procedures, especialmente ao chamar uma Procedure pelo PDO do PHP?

DELIMITER //

CREATE PROCEDURE
  procedureTeste( string VARCHAR(255) )
BEGIN
   SELECT * FROM produtos WHERE nome = string;
END
//

DELIMITER ;

Seria possível realizar SQL Injection em uma Procedure utilizando o bindParam do PDO?

$PDO = $this->PDO->prepare('call procedureTeste(:nomeProd)');
$PDO->bindParam(':nomeProd', $nome, PDO::PARAM_STR);
$PDO->execute();

1 Resposta 1

3

É possível realizar injeção de sql em stored procedures?

Depende da forma como você cria essas procedures, de qualquer forma não é seguro deixar o usuário informar qualquer valor. Isso porque o usuário pode digitar um texto muito longo e acabar tendo acesso a mensagens de erro (caso estejam habilitadas e não filtradas). Isso irá deixar exposto sua estrutura de dados e como você trabalha com ele.

E obviamente, ele saberá que você não trata os dados de entrada e saída.

Estrutura de tabelas:

+-------------+--------------+------+-----+---------+----------------+
| Field       | Type         | Null | Key | Default | Extra          |
+-------------+--------------+------+-----+---------+----------------+
| id          | int(11)      | NO   | PRI | NULL    | auto_increment |
| user        | varchar(32)  | NO   |     | NULL    |                |
| password    | varchar(128) | NO   |     | NULL    |                |
| last_access | timestamp    | NO   |     | NULL    |                |
+-------------+--------------+------+-----+---------+----------------+

Stored Procedures vunerável:

DROP PROCEDURE IF EXISTS login;
DELIMITER //
CREATE PROCEDURE login( u VARCHAR(255), p VARCHAR(255) )
BEGIN
    SET @query = CONCAT("SELECT * FROM users WHERE `user` = '", u, "' AND `password` = '", p,"'");

    SELECT @query;

    PREPARE stmt FROM @query;
    EXECUTE stmt;
END
//

DELIMITER ;

Veja que se eu executar a query abaixo, o MySQL irá retornar todos os registros.

CALL login("' OR '1' = '1", "' OR '1' = '1");

Stored Procedures invunerável mais segura:

DROP PROCEDURE IF EXISTS login2;
DELIMITER //
CREATE PROCEDURE login2( u VARCHAR(255), p VARCHAR(255) )
BEGIN
    SELECT * FROM users WHERE `user` = u AND `password` = p;
END
//

DELIMITER ;

Veja que se eu executar a query abaixo, o MySQL não irá retornar os registros.

CALL login2("' OR '1' = '1", "' OR '1' = '1");

Isso ocorre, pois da segunda forma as Stored Procedures são pré compilados. Em outras palavras, o banco de dados cria esse software interno antes de usá-lo. Neste caso, somente o código de programa é interpretado sem qualquer influência de parâmetros.


Seria possível realizar SQL Injection em uma procedure com bindParam do PDO?

A vantagem é que o valor do parâmetro (com bindParam) nunca é interpolado na sequência da consulta.

Então sim, os parâmetros de consulta ajudam você a evitar essa vulnerabilidade de segurança. Porém, é necessário ter consciência e não fazer de qualquer jeito no código MySQL.


Referências:
https://stackoverflow.com/questions/1314521/how-safe-are-pdo-prepared-statements
https://security.stackexchange.com/questions/68701/how-does-stored-procedure-prevents-sql-injection
https://blogs.msdn.microsoft.com/brian_swan/2011/02/16/do-stored-procedures-protect-against-sql-injection/

1
  • Muito obrigado pela explicação, essa duvida estava me matando, gostaria de implementar procedures no sistema que estou fazendo, e seu exemplo me ajudou muito :) 7/03/2018 às 12:20

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .