PHP网站中的安全策略：SQL注入，XSS攻击和二阶SQL注入

Question

我是网络安全方面的专家，已经研究了两天。 根据OWSAP，SQL注入和XSS攻击是Internet上最常见的攻击，每个程序员都必须处理最少的攻击。

因此，我了解保护他们的方式如下（要求您更正它，如果我错了，请添加）：

Use PDO and prepared statements to prevent SQL Injection

PDO和准备好的语句足以防止（一阶）SQL注入，并且在驱动程序处理输入数据时，我们不需要对输入数据进行任何转义操作。

但是，这可能会导致您倾向于进行二阶SQL注入（ 有关更多信息 ， 请参阅此文章 ），其中在通过PDO和准备好的语句（因为它们存储原始数据）之后，可能将诸如' OR '1'='类的数据存储到数据库中，并防止这使我觉得首先要转义字符串，因此

use $pdo->quote($string) before passing it to prepared statement for storage

但是由于我也想防御XSS攻击，因此我也应该使用htmlentities() （或将htmlspecialchars()用于最小情况）。我应该在输出端执行此操作，但是如果我的输出目标是在输入端使用，我可能更喜欢在输入端使用仅HTML

总而言之，我的步骤是

$string ='raw input from user';
$escaped_string=$pdo->quote(htmlentities($string));
$pdo->execute('query to store $escaped_string  into the database');

在输出时

只需从数据库中回显存储的字段即可。

我想知道我的方法是否安全？

Answer 1

如果您的代码对二阶攻击开放，则说明您没有正确使用准备好的查询，并且从根本上不了解您在做什么。

在查询中转义数据的目的是要从命令中消除数据歧义。 在查询中使用参数的目的是从根本上将数据与命令分开。 两者绝对与数据库中数据的存储方式无关。

您执行的每个查询都应为其中使用的任意数据使用参数。 如果您不这样做，那么您可能根本就没有任何保护，无疑会在您的应用程序中出现错误。 始终对任意数据使用参数化查询（并实际上使用这些参数），即使这些数据来自您自己的数据库。 谁在乎它的来源...如果您无法预测数据是什么，您就知道它不能直接在查询中使用。

关于XSS攻击...如果要输出HTML页面，则可以通过适当地转义数据以供在HTML上下文中使用来防止其中的某些行为。 这允许您在保留文本的HTML上下文中使用任意字符串。 这会转义HTML数据，这意味着文本不会被解析为HTML标签。 您只应在输出时转义...而不是在此之前转义，否则，请尽早处理数据并使它无法用于其他目的。

Answer 2

但是这可能会导致您倾向于二阶SQL注入

实际上，事实可能并非如此。 没有像“二阶SQL注入”这样的东西。 只有SQL注入。 为了防止这种情况，您必须使用参数化查询。 就如此容易。

总而言之，您的步骤将是

$string ='whatever string';
$pdo->prepare('any query that uses ? placeholder for any data');
$pdo->execute([$string]);

在输出时，默认情况下让您的模板对所有值进行html转义，或者如果明确告知，则应用任何其他格式-即将其原始为html格式的文本。

Answer 3

如果您不能避免从用户那里获取原始输入，这是标准过程，请尽可能避免使用用户的原始输入。 例如：

最好将存储过程用于这些类型的事情。

<?php
  if(isset($_POST['submit'])) {
      if($_GET['sort'] == 'alphad') {
          $sort = 'alphad'; //not = $_GET['sort']
          //Your query
      }
  }
?>