SQL Injections ist ein Thema seit jeher. Die Gefahr ist, dass man über Eingabefelder die SQL-Abfrage so manipulieren kann, um Zugriff auf andere Daten zu erhalten. Das ist einfacher als man denkt. Folgende Beispiel PHP Datei:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 |
<?php if(!isset($_REQUEST['do'])) { $html = <<<HTML <!DOCTYPE html> <html lang="de"> <head> <meta charset="utf-8" /> <meta name="viewport" content="width=device-width, initial-scale=1.0" /> <title>SQL-Injektion</title> </head> <body> <form action="?do" method="POST"> Email: <input type="text" id="email" name="email" /><input type="submit" value="Los" /> </form> </body> </html> HTML; echo $html; } else { $db = new Mysqli('localhost', 'root', '', 'phplogin'); $result = $db->query('SELECT * FROM account WHERE email = "'.$_REQUEST['email'].'"'); if($result) while($row = $result->fetch_row()) echo print_r($row, true); } |
Als Beispieldatenbank nehme ich die Datenbank phplogin aus dem Artikel des PHP Login Projekt welche eine Tabelle account erhält. Hier stehen sehr sensible Informationen drin und wir können uns über das simple Query alle Account-Daten aus der Tabelle ausgeben lassen. Wie? Ganz einfach:
Normalerweise würden wir in das Input-Feld nur unsere E-Mail Adresse eintragen, ein Bösewicht (auch Cracker – fälschlicherweise Hacker) genannt könnte aber statt seine E-Mail die obige Zeile eingeben. Eigentlich sollte nur jeder User seine Daten als Ausgabe erhalten, doch folgende Ausgabe erhalten wir:
|
|
Array ( [0] => 1 [1] => matt.rothtauscher@googlemail.com [2] => $argon2i$v=19$m=1024,t=2,p=2$c2hiU0w1QS9pZ2Uvc2xqRQ$hleQqrNDiWbwjgY8DJpsxMEsQAIPCwNdYLW8tJTnbyo [3] => 2018-02-22 12:37:59 [4] => 2018-02-22 09:57:01 ) Array ( [0] => 2 [1] => max@mustermann.de [2] => tollespasswortnurkeinhash [3] => [4] => 2018-02-22 14:19:22 ) |
Wir erhalten alle Daten aus der Tabelle und zwar nicht nur für unseren Benutzer, denn durch die Eingabe hat sich das SQL-Statement von
|
|
SELECT * FROM account WHERE email = ""; |
in folgendes geändert:
|
|
SELECT * FROM account WHERE email = "" or "1=1" |
Entweder ist die Mail leer, oder 1=1. 1=1 ist eine Bedingung, man könnte sie auch true nennen, die immer zutrifft und damit die Bedingung sofort erfüllt und das Statement ausführt.
Wie verhindert man SQL Injections?
Das Stichwort, bzw. die Stichwörter hier lauten: Prepared Statements. Wie der Name schon erahnen lässt gibt man hier die Daten nicht direkt als gesamtes SQL-Statement an den Datenbank Server. Vielmehr lässt man den Datenbankserver das Statement vorbereitet. Das tun wir, indem wir ihm folgendes SQL-Statement “preparen” lassen:
|
|
SELECT * FROM account WHERE email = :email |
Er weiß jetzt was er machen soll, nämlich einen SELECT * aus der Tabelle account und als Bedingung wird eine email kommen. Der Server kann Vorbereitungen treffen hat aber noch keine konkreten Daten zum Ausführen dieses Befehls. Erst im zweiten Schritt lässt man den Datenbankserver dieses Statement ausführen und gibt ihm zeitgleich als Parameter die Daten mit, Ausschnitt:
|
|
$result = $stmt->execute(array('email' => $_REQUEST['email'])); |
Weil man beim PDO-Connector besser mit Prepared Statements arbeiten kann und dieser im Gegensatz zum MySQLi-Connector Named Parameters unterstützt und auch aus weiteren Gründen, habe ich in diesem Beispiel zur Prävention von SQL-Injection vom MySQLIi-Connector zum PDO-Connector gewechselt.
Der vollständige Code hier:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 |
<?php if(!isset($_REQUEST['do'])) { $html = <<<HTML <!DOCTYPE html> <html lang="de"> <head> <meta charset="utf-8" /> <meta name="viewport" content="width=device-width, initial-scale=1.0" /> <title>SQL-Injektion</title> </head> <body> <form action="?do" method="POST"> Email: <input type="text" id="email" name="email" /><input type="submit" value="Los" /> </form> </body> </html> HTML; echo $html; } else { $db = new PDO('mysql:host=localhost;dbname=phplogin', 'root', ''); if($stmt = $db->prepare('SELECT * FROM account WHERE email = :email')) { $result = $stmt->execute(array('email' => $_REQUEST['email'])); if ($result) while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) echo '<pre>' . print_r($row, true) . '</pre>'; } } |
Geben wir nun unsere E-Mail Adresse ein, erhalten wir nur unsere Daten. Verwenden wir wieder den Teil für die SQL-Injection (siehe unten), erhalten wir eine leere Seite (weiß), weil intern ein Fehler geworfen wird der bei mir zumindest nicht direkt angezeigt wird.
