If user input is inserted without modification into an SQL query, then the application becomes vulnerable to SQL injection, like in the following example:사용자 입력을 수정하지 않고 SQL 쿼리에 삽입하면 다음 예시와 같이 응용 프로그램이 SQL 주입에 취약해집니다.
$unsafe_variable = $_POST['user_input']; mysql_query("INSERT INTO `table` (`column`) VALUES ('$unsafe_variable')"); That’s because the user can input something like 그 이유는 사용자가 다음과 같은 것을 입력할 수 있기 때문입니다.value'); DROP TABLE table;--, and the query becomes:쿼리는 다음과 같습니다.
INSERT INTO `table` (`column`) VALUES('value'); DROP TABLE table;--') What can be done to prevent this from happening?이 사태를 막기 위해 무엇을 할 수 있을까요?
질문에 대한 답변
The correct way to avoid SQL injection attacks, no matter which database you use, is to separate the data from SQL, so that data stays data and will never be interpreted as commands by the SQL parser.SQL 주입 공격을 피하는 올바른 방법은 어떤 데이터베이스를 사용하든 데이터를 SQL에서 분리하여 데이터가 그대로 유지되고 SQL 파서에 의해 명령어로 해석되지 않도록 하는 것입니다. It is possible to create an SQL statement with correctly formatted data parts, but if you don’t fully understand the details, you should always use prepared statements and parameterized queries.올바른 형식의 데이터 부분을 사용하여 SQL 문을 만들 수 있지만 세부 정보를 완전히 이해하지 못할 경우 항상 준비된 문과 매개 변수화된 쿼리를 사용해야 합니다. These are SQL statements that are sent to and parsed by the database server separately from any parameters.데이터베이스 서버에서 매개 변수와 별도로 전송 및 구문 분석되는 SQL 문입니다. This way it is impossible for an attacker to inject malicious SQL.이렇게 하면 공격자가 악의적인 SQL을 주입할 수 없습니다.
You basically have two options to achieve this:여기에는 기본적으로 다음 두 가지 옵션이 있습니다.
Using PDO (for any supported database driver):PDO 사용(지원되는 데이터베이스 드라이버의 경우):
$stmt = $pdo->prepare('SELECT * FROM employees WHERE name = :name'); $stmt->execute([ 'name' => $name ]); foreach ($stmt as $row) { // Do something with $row }Using MySQLi (for MySQL):MySQLi 사용(MySQL용):
$stmt = $dbConnection->prepare('SELECT * FROM employees WHERE name = ?'); $stmt->bind_param('s', $name); // 's' specifies the variable type => 'string' $stmt->execute(); $result = $stmt->get_result(); while ($row = $result->fetch_assoc()) { // Do something with $row }
If you’re connecting to a database other than MySQL, there is a driver-specific second option that you can refer to (for example, MySQL 이외의 데이터베이스에 접속하고 있는 경우는, 드라이버 고유의 2번째 옵션을 참조할 수 있습니다(예:pg_prepare() and 그리고.pg_execute() for PostgreSQL).(PostgreSQL의 경우)를 참조해 주세요. PDO is the universal option.PDO는 범용 옵션입니다.
Correctly setting up the connection올바른 연결 설정
PDOPDO
Note that when using PDO to access a MySQL database real prepared statements are not used by default.PDO를 사용하여 MySQL 데이터베이스에 액세스하는 경우 real prepared 문은 기본적으로 사용되지 않습니다. To fix this you have to disable the emulation of prepared statements.이 문제를 해결하려면 준비된 문의 에뮬레이션을 비활성화해야 합니다. An example of creating a connection using PDO is:PDO를 사용하여 연결을 만드는 예는 다음과 같습니다.
$dbConnection = new PDO('mysql:dbname=dbtest;host=127.0.0.1;charset=utf8mb4', 'user', 'password'); $dbConnection->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $dbConnection->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); In the above example, the error mode isn’t strictly necessary, but it is advised to add it.위의 예에서는 에러 모드가 반드시 필요한 것은 아니지만 추가하는 것이 좋습니다. This way PDO will inform you of all MySQL errors by means of throwing the 이 방법을 통해 PDO는 모든 MySQL 오류를 사용자에게 알립니다.PDOException..
What is mandatory, however, is the first 단, 의무적인 것은 첫 번째입니다.setAttribute() line, which tells PDO to disable emulated prepared statements and use real prepared statements.line: PDO에 대해 에뮬레이트된 준비된 문을 비활성화하고 실제 준비된 문을 사용하도록 지시합니다. This makes sure the statement and the values aren’t parsed by PHP before sending it to the MySQL server (giving a possible attacker no chance to inject malicious SQL).그러면 문장 및 값이 MySQL 서버로 전송되기 전에 PHP에 의해 구문 분석되지 않습니다(가능한 공격자가 악의적인 SQL을 주입할 기회는 없습니다).
Although you can set the 단,charset in the options of the constructor, it’s important to note that ‘older’ versions of PHP (before 5.3.6) silently ignored the charset parameter in the DSN.컨스트럭터의 옵션에서는 PHP의 ‘오래된’ 버전(5.3.6 이전)이 DSN의 charset 파라미터를 무시한 것에 주의해 주십시오.
Mysqli미스크리
For mysqli we have to follow the same routine:mysqli의 경우 동일한 절차를 따라야 합니다.
mysqli_report(MYSQLI_REPORT_ERROR MYSQLI_REPORT_STRICT); // error reporting $dbConnection = new mysqli('127.0.0.1', 'username', 'password', 'test'); $dbConnection->set_charset('utf8mb4'); // charset Explanation설명.
The SQL statement you pass to 전달할 SQL 문prepare is parsed and compiled by the database server.는 데이터베이스 서버에 의해 해석 및 컴파일됩니다. By specifying parameters (either a 매개 변수를 지정함으로써(또는? or a named parameter like 또는 다음과 같은 명명된 매개 변수입니다.:name in the example above) you tell the database engine where you want to filter on.위의 예에서) 필터링할 위치를 데이터베이스 엔진에 지시합니다. Then when you call 그럼 네가 전화했을 때execute, the prepared statement is combined with the parameter values you specify.준비된 문은 지정한 파라미터 값과 조합됩니다.
The important thing here is that the parameter values are combined with the compiled statement, not an SQL string.여기서 중요한 것은 파라미터 값이 SQL 문자열이 아닌 컴파일된 문과 결합된다는 것입니다. SQL injection works by tricking the script into including malicious strings when it creates SQL to send to the database.SQL 주입은 스크립트가 데이터베이스로 전송할 SQL을 만들 때 악의적인 문자열을 포함하도록 속이는 방식으로 작동합니다. So by sending the actual SQL separately from the parameters, you limit the risk of ending up with something you didn’t intend.따라서 실제 SQL을 매개 변수와 별도로 전송함으로써 의도하지 않은 결과가 발생할 위험을 줄일 수 있습니다.
Any parameters you send when using a prepared statement will just be treated as strings (although the database engine may do some optimization so parameters may end up as numbers too, of course).준비된 스테이트먼트를 사용할 때 송신하는 파라미터는 모두 문자열로 취급됩니다(데이터베이스 엔진에서 최적화가 이루어지기 때문에 파라미터도 물론 수치로 간주될 수 있습니다). In the example above, if the 위의 예에서,$name variable contains 변수는 다음을 포함합니다.'Sarah'; DELETE FROM employees the result would simply be a search for the string 결과는 단순히 문자열을 찾는 것이다."'Sarah'; DELETE FROM employees", and you will not end up with an empty table.빈 테이블이 되는 일은 없습니다.
Another benefit of using prepared statements is that if you execute the same statement many times in the same session it will only be parsed and compiled once, giving you some speed gains.준비된 문을 사용하는 또 다른 장점은 같은 세션에서 여러 번 실행할 경우 구문 분석과 컴파일이 한 번만 수행되므로 속도가 향상된다는 것입니다.
Oh, and since you asked about how to do it for an insert, here’s an example (using PDO):아, 인서트 방법에 대해 질문하셨으니 예를 들어보겠습니다(PDO 사용).
$preparedStatement = $db->prepare('INSERT INTO table (column) VALUES (:column)'); $preparedStatement->execute([ 'column' => $unsafeValue ]); Can prepared statements be used for dynamic queries?준비된 문을 동적 쿼리에 사용할 수 있습니까?
While you can still use prepared statements for the query parameters, the structure of the dynamic query itself cannot be parametrized and certain query features cannot be parametrized.쿼리 파라미터에는 준비된 문을 사용할 수 있지만 동적 쿼리 구조 자체는 파라미터화할 수 없으며 특정 쿼리 기능을 파라미터화할 수 없습니다.
For these specific scenarios, the best thing to do is use a whitelist filter that restricts the possible values.이러한 특정 시나리오에서는 가능한 값을 제한하는 화이트리스트 필터를 사용하는 것이 가장 좋습니다.
// Value whitelist // $dir can only be 'DESC', otherwise it will be 'ASC' if (empty($dir) $dir !== 'DESC') { $dir = 'ASC'; } To use the parameterized query, you need to use either Mysqli or PDO.매개 변수화된 쿼리를 사용하려면 Mysqli 또는 PDO를 사용해야 합니다. To rewrite your example with mysqli, we would need something like the following.mysqli로 예를 다시 쓰려면 다음과 같은 것이 필요합니다.
<?php mysqli_report(MYSQLI_REPORT_ERROR MYSQLI_REPORT_STRICT); $mysqli = new mysqli("server", "username", "password", "database_name"); $variable = $_POST["user-input"]; $stmt = $mysqli->prepare("INSERT INTO table (column) VALUES (?)"); // "s" means the database expects a string $stmt->bind_param("s", $variable); $stmt->execute(); The key function you’ll want to read up on there would be mysqli::prepare.여기서 설명하는 주요 기능은 입니다.
Also, as others have suggested, you may find it useful/easier to step up a layer of abstraction with something like PDO.또한 다른 사람들이 제안했듯이 PDO와 같은 것으로 추상화 층을 높이는 것이 유용하거나 더 쉽다는 것을 알 수 있습니다.
Please note that the case you asked about is a fairly simple one and that more complex cases may require more complex approaches.문의하신 케이스는 매우 단순한 케이스이며, 보다 복잡한 케이스는 보다 복잡한 접근법이 필요할 수 있습니다. In particular:특히:
- If you want to alter the structure of the SQL based on user input, parameterized queries are not going to help, and the escaping required is not covered by 사용자 입력에 따라 SQL 구조를 변경하는 경우 파라미터화된 쿼리는 도움이 되지 않으며 필요한 이스케이프는 에 의해 처리되지 않습니다.
mysql_real_escape_string. In this kind of case, you would be better off passing the user’s input through a whitelist to ensure only ‘safe’ values are allowed through.이런 경우 사용자의 입력을 화이트리스트에 전달하여 ‘안전한’ 값만 통과시키는 것이 좋습니다.
Every answer here covers only part of the problem.여기 있는 모든 답변은 문제의 일부만을 다루고 있습니다. In fact, there are four different query parts which we can add to SQL dynamically: –실제로 SQL에 동적으로 추가할 수 있는 쿼리 부분은 4가지가 있습니다.-
- a string끈
- a number번호
- an identifier식별자
- a syntax keyword구문 키워드
And prepared statements cover only two of them.그리고 준비된 진술서는 그 중 단 두 가지에 불과합니다.
But sometimes we have to make our query even more dynamic, adding operators or identifiers as well.그러나 때로는 연산자 또는 식별자를 추가하여 쿼리를 더욱 역동적으로 만들어야 합니다. So, we will need different protection techniques.따라서 다른 보호 기술이 필요합니다.
In general, such a protection approach is based on whitelisting.일반적으로 이러한 보호 접근 방식은 화이트리스트에 기반합니다.
In this case, every dynamic parameter should be hardcoded in your script and chosen from that set.이 경우 스크립트에서 모든 다이내믹 파라미터를 하드코드하여 그 세트에서 선택해야 합니다. For example, to do dynamic ordering:예를 들어, 동적 순서를 설정하려면:
$orders = array("name", "price", "qty"); // Field names $key = array_search($_GET['sort'], $orders)); // if we have such a name $orderby = $orders[$key]; // If not, first one will be set automatically. $query = "SELECT * FROM `table` ORDER BY $orderby"; // Value is safe To ease the process I wrote a whitelist helper function that does all the job in one line:프로세스를 쉽게 하기 위해 모든 작업을 한 줄로 처리하는 화이트리스트 도우미 기능을 작성했습니다.
$orderby = white_list($_GET['orderby'], "name", ["name","price","qty"], "Invalid field name"); $query = "SELECT * FROM `table` ORDER BY `$orderby`"; // sound and safe There is another way to secure identifiers – escaping but I rather stick to whitelisting as a more robust and explicit approach.식별자를 보호하는 또 다른 방법이 있습니다.탈출이지만 저는 보다 강력하고 명시적인 접근법으로 화이트리스트에 있는 것을 고수합니다. Yet as long as you have an identifier quoted, you can escape the quote character to make it safe.그러나 따옴표로 묶인 식별자가 있으면 따옴표로 묶인 문자를 피해 안전하게 사용할 수 있습니다. For example, by default for mysql you have to double the quote character to escape it.예를 들어 mysql의 경우 기본적으로 따옴표를 두 번 눌러 이스케이프해야 합니다. For other other DBMS escaping rules would be different.다른 DBMS 이스케이프 규칙은 다릅니다.
Still, there is an issue with SQL syntax keywords (such as 그래도 SQL 구문 키워드에는 문제가 있습니다(예:AND, ,DESC and such), but white-listing seems the only approach in this case.등) 하지만 이 경우에는 화이트 클로즈만이 유일한 접근법인 것 같습니다.
So, a general recommendation may be phrased as따라서 일반적인 권장사항은 다음과 같이 표현될 수 있습니다.
- Any variable that represents an SQL data literal, (or, to put it simply – an SQL string, or a number) must be added through a prepared statement.SQL 데이터 리터럴을 나타내는 변수(간단히 말하면 SQL 문자열 또는 숫자)는 준비된 문을 통해 추가해야 합니다. No Exceptions.예외는 없습니다.
- Any other query part, such as an SQL keyword, a table or a field name, or an operator – must be filtered through a white list.SQL 키워드, 테이블 또는 필드 이름 또는 연산자와 같은 다른 쿼리 부분은 화이트리스트를 통해 필터링해야 합니다.
Update갱신하다
Although there is a general agreement on the best practices regarding SQL injection protection, there are still many bad practices as well.SQL 주입 보호에 관한 베스트 프랙티스에 대한 일반적인 합의는 있지만 여전히 많은 나쁜 프랙티스가 있습니다. And some of them too deeply rooted in the minds of PHP users.그 중 일부는 PHP 사용자의 마음에 너무 깊이 뿌리박고 있다. For instance, on this very page there are (although invisible to most visitors) more than 80 deleted answers – all removed by the community due to bad quality or promoting bad and outdated practices.예를 들어, 바로 이 페이지에는 (대부분 방문자에게는 보이지 않지만) 80개 이상의 삭제된 답변이 있습니다.이들 답변은 모두 품질이 나쁘거나 악질적이고 시대에 뒤떨어진 관행을 조장하기 위해 커뮤니티에 의해 삭제되었습니다. Worse yet, some of the bad answers aren’t deleted, but rather prospering.설상가상으로, 일부 오답은 삭제되지 않고 오히려 번창하고 있다.
For example, there(1) are(2) still(3) many(4) answers(5), including the second most upvoted answer suggesting you manual string escaping – an outdated approach that is proven to be insecure.예를 들어, (2) still(3) many(4) answer(5)가 있습니다.여기에는 수동 스트링 이스케이프를 시사하는 두 번째로 높은 응답도 포함되어 있습니다.이것은 안전하지 않은 것으로 판명된 오래된 접근법입니다.
Or there is a slightly better answer that suggests just another method of string formatting and even boasts it as the ultimate panacea.아니면 현악기 포맷의 또 다른 방법을 제안하고 궁극의 만병통치약이라고 자랑하는 조금 더 나은 답이 있다. While of course, it is not.물론 그렇지 않습니다. This method is no better than regular string formatting, yet it keeps all its drawbacks: it is applicable to strings only and, like any other manual formatting, it’s essentially optional, non-obligatory measure, prone to human error of any sort.이 방법은 일반 문자열 형식과 다를 바 없지만 모든 단점을 유지합니다. 즉, 문자열에만 적용 가능하며 다른 수동 형식과 마찬가지로 기본적으로 임의이며 의무적이지 않으며 어떠한 종류의 인위적 오류도 발생하기 쉽습니다.
I think that all this because of one very old superstition, supported by such authorities like OWASP or the PHP manual, which proclaims equality between whatever “escaping” and protection from SQL injections.이 모든 것은 OWASP나 PHP 매뉴얼과 같은 당국으로부터 지지를 받고 있는 매우 오래된 미신 때문인 것 같습니다.이 미신은 SQL 주입으로부터 “회피”와 보호 사이의 평등을 선언합니다.
Regardless of what PHP manual said for ages, *_escape_string by no means makes data safe and never has been intended to.PHP 매뉴얼이 오랫동안 설명한 내용과 상관없이 데이터를 안전하게 하거나 의도한 적이 없습니다. Besides being useless for any SQL part other than string, manual escaping is wrong, because it is manual as opposite to automated.수동 이스케이프는 문자열 이외의 SQL 부분에서는 사용할 수 없을 뿐만 아니라 자동화와는 반대로 수동이기 때문에 잘못된 것입니다.
And OWASP makes it even worse, stressing on escaping user input which is an utter nonsense: there should be no such words in the context of injection protection.게다가 OWASP는, 유저의 입력을 회피하는 것을 강조해, 한층 더 상황을 악화시키고 있습니다.이것은 전혀 말도 안 되는 것입니다.주입 보호의 맥락에서는 이러한 단어를 사용할 수 없습니다. Every variable is potentially dangerous – no matter the source!모든 변수는 잠재적으로 위험합니다. 출처와 상관없이! Or, in other words – every variable has to be properly formatted to be put into a query – no matter the source again.즉, 소스에 관계없이 모든 변수는 쿼리에 넣기 위해 올바른 형식을 가져야 합니다. It’s the destination that matters.중요한 것은 목적지다. The moment a developer starts to separate the sheep from the goats (thinking whether some particular variable is “safe” or not) he/she takes his/her first step towards disaster.개발자가 양과 염소를 분리하는 순간(특정 변수가 ‘안전성’인지 아닌지를 생각하면서) 재앙을 향해 첫발을 내딛는다. Not to mention that even the wording suggests bulk escaping at the entry point, resembling the very magic quotes feature – already despised, deprecated and removed.이 문구조차도 이미 경멸, 비호감, 제거된 마법의 인용 기능과 유사한 입구에서의 대량 탈출을 시사하는 것은 말할 것도 없습니다.
So, unlike whatever “escaping”, prepared statements is the measure that indeed protects from SQL injection (when applicable).따라서 “회피”와는 달리 준비된 문장은 SQL 주입(해당하는 경우)으로부터 보호하는 수단입니다.
I’d recommend using PDO (PHP Data Objects) to run parameterized SQL queries.PDO(PHP Data Objects)를 사용하여 매개 변수화된 SQL 쿼리를 실행하는 것이 좋습니다.
Not only does this protect against SQL injection, but it also speeds up queries.SQL 주입으로부터 보호할 뿐만 아니라 쿼리 속도도 향상됩니다.
And by using PDO rather than 또한 PDO를 사용하여mysql_, ,mysqli_, and ,그리고.pgsql_ functions, you make your application a little more abstracted from the database, in the rare occurrence that you have to switch database providers.데이터베이스 프로바이더를 전환해야 하는 경우는 드물지만 애플리케이션을 데이터베이스에서 조금 더 추상화할 수 있습니다.
Use 사용하다PDO and prepared queries.질의도 준비했습니다.
(($conn is a 는 입니다.PDO object)오브젝트)
$stmt = $conn->prepare("INSERT INTO tbl VALUES(:id, :name)"); $stmt->bindValue(':id', $id); $stmt->bindValue(':name', $name); $stmt->execute();