1

Gostaria de saber se é seguro fazer uma busca no banco de dados dessa maneira:

$c = $conn->prepare("SELECT * FROM tb WHERE coisa = :post");
$c->bindValue(':post', $_POST['login']);
$c->execute();
var_dump($c->fetch());

É seguro eu fazer dessa maneira, ou tenho que validar antes? Para evitar qualquer tipo de ataque?

2
  • 1
    No título você menciona SQL injection, mas no final fala em qualquer tipo de ataque. Esse código resolve SQL injection, mas não resolve, por exemplo, injeções de XSS. Nesse caso precisaria filtrar os valores mesmo.
    – bfavaretto
    Commented 25/03/2015 às 1:55
  • Então @bfavaretto, depois que você falou sobre XSS, pesquisei a respeito, uma das informações que tive, é que com as TAGS: strip_tags, addslashes e htmlspecialchars consigo resolver este problema. É fato, ou não, qual a melhor maneira de evitar XSS com php? outra dúvida é, quais váriaveis globais devo utilizar para evitar isso: ex: GET, POST, SESSION, COOKIE, SERVER ... pois pelo que li e pelo sei, o user agent ($_SERVER), eu posso modificar essa header fácilmente, e geralmente envio ela diretamente para o banco de dados... é possível modificar a variavel global do IP também?
    – abcd
    Commented 25/03/2015 às 19:34

2 Respostas 2

1

Sobre SQL Injection

As defesas preliminares:

  • Opção # 1: Use de Prepared Statements (consultas parametrizadas)

O uso de Prepared Statements com (consultas parametrizadas) de ligação variáveis é como todos os desenvolvedores deveriam ser ensinados a escrever consultas ao banco de dados. Elas são simples de escrever, e mais fáceis de entender do que as consultas dinâmicas. Consultas parametrizadas forçam o desenvolvedor a definir primeiro todo o código SQL, e então passar em cada parâmetro para a consulta mais tarde. Este estilo de codificação permite que o banco de dados possa distinguir o código e os dados, independentemente do que a entrada do usuário é fornece. Prepared Statements garantem que um atacante não é capaz de mudar a intenção de uma consulta, mesmo se os comandos SQL são inseridos por um invasor. No exemplo , se um invasor tenta entrar no userID de tom "ou" 1, a consulta parametrizada 1 '=' não seria vulnerável e, ao invés, procurar um nome de usuário que literalmente acompanhado todo o tom string 'ou' 1 '=' 1.

Recomendações especificas de cada linguagem:

  • Java EE – use PreparedStatement() with bind variables
  • .NET – use parameterized queries like SqlCommand() or OleDbCommand() with bind variables
  • PHP – use PDO with strongly typed parameterized queries (using bindParam())
  • Hibernate - use createQuery() with bind variables (called named parameters in Hibernate) SQLite - use sqlite3_prepare() to create a statement object

Existem outras formas/complementações para prevenir SQL Injection, Prepared Statements é uma das principais. Vi que tem interesse em saber sobre outras vulnerabilidades, inclusive existe outras variantes de ataque SQL como blind sql injection. Não sei se você sabe, mas existe uma organização da comunidade que tem o foco na segurança, principalmente na web e eles fazem um top 10 das principais vulnerabilidades web, fora que tem diversos outros conteudos relacionados a segurança, ate mesmo voltado para PHP.

Complementando: Alem disso, valide as entradas e saídas de sua aplicação, deixando a utilização de caracteres necessários.

OWASP

TOP 10 - 2013

SQL Injection

Reforço a você conhecer esse site, principalmente para aprender sobre as outras formas de prevenir uma ataque SQL, conteúdo foi tirado de la.

3
  • 2
    Se for PHP com MySQL, melhor ainda usar o driver nativo via mysqli do que o PDO, para fazer binding nativo. Lembrando que prepared só é melhor que sanitização quando é nativo (senão, como o PDO faz por padrão, no máximo "empata"). PDO com Emulated prepares é inseguro? Qual a diferença?.
    – Largato
    Commented 18/09/2016 às 5:07
  • Binding nativo eu não conhecia, pelo menos agora vou saber. Sobre sanitização, eu preferi deixar fora para que ele pesquisasse mais a fundo, no site da OWASP ou em outros lugares é altamente recomendado filtrar os dados junto com o uso de Prepared Statements, porem você já deve saber. @Bacco
    – G. M4rc14L
    Commented 18/09/2016 às 5:58
  • 2
    o importante é entender que o PDO simula as queries, ele faz um "binding" montando a query do lado do cliente e sanitizando. Essa parte que você mencionou em amarelo é importante, mas só ocorre quando o binding é feito do lado do servidor (como no mysqli, que o dado é transmitido separado da query). Também acho que a sanitização fica fora do escopo da pergunta, comentei por comparação. A propósito, nesse ponto eles melhoraram recentemente, quando o DB suporta, agora tem como fazer nativo no PDO, mas o default não é esse. Eu só dou o alerta nesses casos para ninguém comprar gato por lebre :)
    – Largato
    Commented 18/09/2016 às 8:33
0

Sim, usando bindValue já evita tentativas de SQL Injection.

5
  • 2
    Isto não fornece uma resposta à pergunta. Para criticar ou solicitar esclarecimento de um autor, deixe um comentário abaixo da publicação dele. Commented 25/03/2015 às 0:15
  • 4
    @BrunoAugusto Não responde? Claro que dá pra colocar mais detalhes, mas a essência da resposta é essa mesmo.
    – bfavaretto
    Commented 25/03/2015 às 1:53
  • Desculpa, a principio eu gostaria de obter como principal informação SQL injection, mas euq ueria abrir um leque para outros tipos de ataques, como citado acima XSS... Se tiverem informação sobre outro tipo de ataque que posso sofrer utilizando as variáveis globais daquela maneira... e como não deixar que isso ocorra. Só lembrando que houve uma edição no título...
    – abcd
    Commented 25/03/2015 às 19:39
  • 1
    @abcd deixei uma resposta do jeito que veio a pergunta :) perguntas melhores geram respostas melhores. Se quiser tratar de xss injection por exemplo, faça uma pergunta sobre o assunto, objetiva mas com conteúdo e exemplos que com certeza o pessoal te dará boas repspostas.
    – Gê Bender
    Commented 25/03/2015 às 19:47
  • Ok, irei fazer isso.
    – abcd
    Commented 25/03/2015 às 19:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .