Hack prepare 语句（先读）

Question

我有这个代码：

<?php
$table = $_GET ["table"];
$query = "SELECT 1 FROM $table";
$st = $pdo->prepare($query);
$st->execute();

这不是真正的代码，但它是一个例子。

如果我做：

hacked.php?table=users;DROP TABLE users;

它会起作用，因为它没有正确转义。

但是，如果我想更新这样的信息：

hacked.php?table=users; UPDATE users SET name="abc" WHERE name="def";

它不起作用，因为它被转义了，pdo会将查询转换为

SELECT 1 FROM users; UPDATE users SET name=\"abc\" WHERE name=\"def\";

显然它失败了。

有没有办法让这个查询有效？

编辑 1

我们团队中有一个人专门检查我的代码并破解它。所以我想做好准备，如果这可以以某种方式完成。

编辑 2

我已经读过这个：Are PDO prepared statements sufficient to prevent SQL injection? 但它确实没有回答我的问题。然而，它给了我一个通过的方法。 @duskwuff 的解决方案与我的解决方案相同。因此，对于管理员来说，如果应该将其删除或标记为重复是可以的。但我坚持认为，这有助于人们了解 pdo prepare 是如何被黑客入侵的。

Answer 1

它不起作用，因为它被转义了，pdo会将查询转换为

SELECT 1 FROM users; UPDATE users SET name=\"abc\" WHERE name=\"def\";

这是不正确的！ PDO 不会对插入查询的文本执行转义，因为它不知道插入了什么文本。您所看到的是 PHP 已弃用的 magic_quotes 功能在请求变量的内容中添加反斜杠（如 $_GET 和 $_POST）的结果。即使启用了此功能，也可以在类似这样的查询中轻松通过使用不带引号的结构来避免它，例如：

SELECT 1 FROM users; UPDATE users SET name = CHAR(97,98,99) WHERE name = CHAR(100,101,102)

（CHAR() 是一个 MySQL 函数，它从字符代码值列表中构造一个字符串。如果您使用的是其他数据库，则可能存在等效函数。）

将未转义的内容直接插入到查询中是从不安全的。不要这样做。

Answer 2

我认为你问错了问题。如果您的代码与此非常相似，那么您编写代码的方式就有很大的问题......并且可能与您将需要解决的问题概念化的方式有关，或者您正在从一个非常糟糕的设计开始工作。

如果出于某种原因，您需要在 URL 查询字符串或 http 帖子中传递有关数据库设计的任何信息，并且如果出于某种原因，您认为执行未转义的查询是你需要的方法......然后无论你在做什么，you're doing it wrong。

如果，在某个遥远的机会，您确实需要将表格名称传递给网页，那么您至少必须将输入值与某种静态结构进行比较，以查看输入是否值在列表中...然后使用列表中的值，或者来自静态的值，而不是来自输入。

简单地说，像下面这样原始的方法将是一种优越得多的方法，尽管如果表名、列名或任何数据库内部需要进入浏览器领域，则可以说这是一个糟糕的设计。

$table = $_GET ["table"];
IF ($table == "users")
{
   $query = "SELECT 1 FROM users;"
}
ELSEIF ($table == "points")
{
   $query = "SELECT 1 FROM points;"
}  

...