ทางเลือกสำหรับ mysql_real_escape_string โดยไม่ต้องเชื่อมต่อกับ DB

Question 1

ฉันต้องการให้ฟังก์ชันทำงานเป็น mysql_real_escape_string โดยไม่ต้องเชื่อมต่อกับฐานข้อมูลในบางครั้งฉันต้องทำการทดสอบแบบแห้งโดยไม่ต้องเชื่อมต่อ DB mysql_escape_string เลิกใช้งานแล้วดังนั้นจึงไม่เป็นที่ต้องการ การค้นพบบางส่วนของฉัน:

http://www.gamedev.net/community/forums/topic.asp?topic_id=448909

http://w3schools.invisionzone.com/index.php?showtopic=20064

Question 2

เป็นไปไม่ได้ที่จะหลบหนีสตริงอย่างปลอดภัยโดยไม่มีการเชื่อมต่อฐานข้อมูล mysql_real_escape_string()และคำสั่งที่เตรียมไว้จำเป็นต้องมีการเชื่อมต่อกับฐานข้อมูลเพื่อให้สามารถหลบหนีสตริงโดยใช้ชุดอักขระที่เหมาะสมมิฉะนั้นการโจมตีด้วยการฉีด SQL ยังคงเป็นไปได้โดยใช้อักขระแบบหลายไบต์

หากคุณกำลังทดสอบเท่านั้นคุณก็สามารถใช้ได้เช่นกันmysql_escape_string()ไม่รับประกัน 100% สำหรับการโจมตีด้วย SQL injection แต่เป็นไปไม่ได้ที่จะสร้างอะไรที่ปลอดภัยกว่านี้หากไม่มีการเชื่อมต่อ DB

Question 3

ตามหน้าการอ้างอิงฟังก์ชันmysql_real_escape_string : "mysql_real_escape_string () เรียกฟังก์ชันไลบรารีของ MySQL mysql_real_escape_string ซึ่งจะหลีกเลี่ยงอักขระต่อไปนี้: \ x00, \ n, \ r, \, '," และ \ x1a "

ด้วยเหตุนี้ฟังก์ชันที่ระบุในลิงก์ที่สองที่คุณโพสต์ควรทำในสิ่งที่คุณต้องการ:

function mres($value)
{
    $search = array("\\",  "\x00", "\n",  "\r",  "'",  '"', "\x1a");
    $replace = array("\\\\","\\0","\\n", "\\r", "\'", '\"', "\\Z");

    return str_replace($search, $replace, $value);
}

Question 4

ตรงข้ามกับคำตอบอื่น ๆ ของฉันฟังก์ชันต่อไปนี้อาจปลอดภัยแม้ว่าจะมีอักขระแบบหลายไบต์ก็ตาม

// replace any non-ascii character with its hex code.
function escape($value) {
    $return = '';
    for($i = 0; $i < strlen($value); ++$i) {
        $char = $value[$i];
        $ord = ord($char);
        if($char !== "'" && $char !== "\"" && $char !== '\\' && $ord >= 32 && $ord <= 126)
            $return .= $char;
        else
            $return .= '\\x' . dechex($ord);
    }
    return $return;
}

ฉันหวังว่าจะมีคนที่มีความรู้มากกว่าตัวฉันสามารถบอกฉันได้ว่าทำไมโค้ดด้านบนถึงใช้ไม่ได้

Question 5

จากการวิจัยเพิ่มเติมฉันพบว่า:

http://dev.mysql.com/doc/refman/5.1/th/news-5-1-11.html

แก้ไขความปลอดภัย:

พบช่องโหว่ด้านความปลอดภัยการฉีด SQL ในการประมวลผลการเข้ารหัสแบบหลายไบต์ จุดบกพร่องอยู่ในเซิร์ฟเวอร์การแยกวิเคราะห์สตริงที่ไม่ถูกต้องที่ใช้ Escape ด้วยฟังก์ชัน mysql_real_escape_string () C API

ช่องโหว่นี้ถูกค้นพบและรายงานโดย Josh Berkus และ Tom Lane ซึ่งเป็นส่วนหนึ่งของความร่วมมือด้านความปลอดภัยระหว่างโครงการของกลุ่ม OSDB สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการแทรก SQL โปรดดูข้อความต่อไปนี้

อภิปรายผล. พบช่องโหว่ด้านความปลอดภัยการแทรก SQL ในการประมวลผลการเข้ารหัสแบบหลายไบต์ ช่องโหว่การรักษาความปลอดภัยการแทรก SQL อาจรวมถึงสถานการณ์ที่เมื่อผู้ใช้ให้ข้อมูลเพื่อแทรกลงในฐานข้อมูลผู้ใช้อาจฉีดคำสั่ง SQL ลงในข้อมูลที่เซิร์ฟเวอร์จะดำเนินการ สำหรับช่องโหว่นี้เมื่อมีการใช้การหลีกเลี่ยงการตั้งค่าอักขระโดยไม่รู้ตัว (ตัวอย่างเช่น addlashes () ใน PHP) จึงเป็นไปได้ที่จะข้ามการหลีกเลี่ยงในชุดอักขระแบบหลายไบต์ (เช่น SJIS, BIG5 และ GBK) ด้วยเหตุนี้ฟังก์ชันเช่น addlashes () จึงไม่สามารถป้องกันการโจมตีด้วย SQL-injection เป็นไปไม่ได้ที่จะแก้ไขปัญหานี้ในฝั่งเซิร์ฟเวอร์ ทางออกที่ดีที่สุดคือให้แอปพลิเคชันใช้การหลีกเลี่ยงการตั้งค่าอักขระที่เสนอโดยฟังก์ชันเช่น mysql_real_escape_string ()

อย่างไรก็ตามตรวจพบข้อบกพร่องในวิธีที่เซิร์ฟเวอร์ MySQL แยกวิเคราะห์ผลลัพธ์ของ mysql_real_escape_string () ด้วยเหตุนี้แม้ว่าจะมีการใช้ฟังก์ชันการตั้งค่าอักขระ mysql_real_escape_string () การแทรก SQL ก็เป็นไปได้ ข้อบกพร่องนี้ได้รับการแก้ไขแล้ว

วิธีแก้ปัญหา หากคุณไม่สามารถอัปเกรด MySQL เป็นเวอร์ชันที่มีการแก้ไขข้อบกพร่องในการแยกวิเคราะห์ mysql_real_escape_string () แต่เรียกใช้ MySQL 5.0.1 ขึ้นไปคุณสามารถใช้โหมด NO_BACKSLASH_ESCAPES SQL เป็นวิธีแก้ปัญหาได้ (โหมดนี้ถูกนำมาใช้ใน MySQL 5.0.1) NO_BACKSLASH_ESCAPES เปิดใช้งานโหมดความเข้ากันได้มาตรฐานของ SQL โดยที่แบ็กสแลชไม่ถือเป็นอักขระพิเศษ ผลลัพธ์ก็คือการสืบค้นจะล้มเหลว

ในการตั้งค่าโหมดนี้สำหรับการเชื่อมต่อปัจจุบันให้ป้อนคำสั่ง SQL ต่อไปนี้:

SET sql_mode='NO_BACKSLASH_ESCAPES';

คุณยังสามารถตั้งค่าโหมดทั่วโลกสำหรับไคลเอนต์ทั้งหมด:

SET GLOBAL sql_mode='NO_BACKSLASH_ESCAPES';

โหมด SQL นี้ยังสามารถเปิดใช้งานโดยอัตโนมัติเมื่อเซิร์ฟเวอร์เริ่มทำงานโดยใช้ตัวเลือกบรรทัดคำสั่ง --sql-mode = NO_BACKSLASH_ESCAPES หรือโดยการตั้งค่า sql-mode = NO_BACKSLASH_ESCAPES ในไฟล์ตัวเลือกเซิร์ฟเวอร์ (ตัวอย่างเช่น my.cnf หรือ my.ini ขึ้นอยู่กับระบบของคุณ) (ข้อบกพร่อง # 8378, CVE-2006-2753)

ดูข้อบกพร่อง # 8303 ด้วย