38

Por que consultas SQL parametrizadas(nome = ?) previnem SQL Injection? Podem citar exemplos?

3
  • 4
    Por que todas as respostas até agora tratam o assunto somente do ponto de vista do PHP? A pergunta é muito interessante, melhor ainda se houver uma resposta que não se prende a uma linguagem especifica. Commented 12/05/2015 às 11:54
  • Mas o problema e os motivos são os mesmos em todas, o que muda é só como usar prepared statements. Em java seria: PreparedStatement ps= null; ResultSet rs = null; String query = ("select * from pessoa where nm_pessoa = ?"); ps = conexao.prepareStatement(query); ps.setString(1, 'maria'); ResultSet res = ps.executeQuery(); Commented 15/05/2015 às 14:14
  • Esse artigo explica como funciona injeção de SQL. guid.com.br/categorias/desenvolvimento/injecao-de-sql
    – user27522
    Commented 8/07/2015 às 10:55

3 Respostas 3

27

Me parece que você está se referindo a prepared statements.

O que acontece é que ao informar uma consulta com parâmetro para a biblioteca de conexão com o banco de dados, ela trata o valor recebido como um parâmetro, fazendo todos os escapes de forma transparente, impossibilitando que um valor passado modifique o comportamento da consulta.

Para utilizar consultas com strings concatenadas é preciso fazer diversas verificações. Em PHP, por exemplo, é preciso verificar configurações (e.g. magic_quotes_gpc) e/ou chamar funções como mysql_real_escape_string() e addslashes().

Exemplo em PHP utilizando uma consulta de login:

$statement = $pdo->prepare('SELECT id FROM usuario WHERE usuario = ? AND senha = ?');
$statement->execute(array(
    "admin",
    "' OR '1",
));

Uma consulta que apenas concatenasse as strings resultaria em:

SELECT id FROM usuario
WHERE usuario = 'admin'
AND senha = '' OR '1'

A consulta seria modificada e o invasor conseguiria fazer login como administrador.

Com o prepared statement a consulta seria executada no banco com os devidos escapes, impedindo o ataque:

SELECT id FROM usuario
WHERE usuario = 'admin'
AND senha = '\' OR \'1'
0
14
$user = "1;DROP TABLE Users;";
$SQL = "SELECT * FROM Users WHERE User=$user";

Se a variavel $user for algo preenchido pelo utilizador e o utilizador colocar no seu valor algo como o que tenho no exemplo acima, o MySQL vai executar

SELECT * FROM Users WHERE User=1;DROP TABLE Users;

O que vai resultar num drop à tabela Users.

Ao usar PDO, ou prepared statements com MySQLi, o motor automaticamente prepara as variaveis de forma a impedir que tal aconteça, e a base de dados fica protegida.

11

Seguindo o que dito em uma pergunta semelhante no SOen, as consultas e com prepared statements são enviadas ao banco de dados de forma separada dos dados assim não é possível ter duas consultas SQL (a injeção de SQL).

Contudo Prepared statements Não é uma solução 100% garantida, a casos onde ela não é 100% eficaz ou onde não é possivel usar Prepared Statements.

EX: o PHP Data Object (PDO) não suporta prepared statements junto a clausula ORDER, você deverá fazer o trabalho de prevenção todo sozinho (higienizar o conteúdo, escapa-lo) veja aqui os links desta mesma rede stackexchange: Prepared Statement 100% seguro e PDO Prepared statements in ORDER BY

2
  • 3
    Esta resposta é mais precisa até agora. Mas veja que brechas a SQL Injection vão permitir muito mais do que uma consulta embutida em outra ("duas consultas SQL"). Através de SQL Injection você pode também embutir comandos de manipulação de dados, alteração de schema de databases e pode até dropar tabelas e databases inteiros. A primeira frase "as consultas e com prepared statements são enviadas ao banco de dados de forma separada dos dados" também talvez fique mais clara se trocar "dados" por "parâmetros".
    – Caffé
    Commented 12/05/2015 às 18:02
  • Vale notar que esse problema é do PDO, pois são simulados os prepared statements. Na MySQLi é usado o binding nativo, e os parâmetros são passados em separado para o servidor
    – Largato
    Commented 20/10/2018 às 16:11

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .