从宽字节注入认识PDO的原理和正确使用

前言

随着数据库参数化查询的方式越来越普遍，SQL注入漏洞较之于以前也大大减少，而PDO作为php中最典型的预编译查询方式，使用越来越广泛。

众所周知，PDO是php中防止SQL注入最好的方式，但并不是100%杜绝SQL注入的方式，关键还要看如何使用。

之前在一篇文章中了解到PDO场景下参数可控导致的多句执行等问题（https://xz.aliyun.com/t/3950）于是对PDO场景下的SQL注入又进行了一些探究。

PDO查询语句可控存在的安全问题：

首先在本地新建一个库和表，随便写点东西。

然后写一个test.php，用PDO进行简单的查询：

<?php 
try
{
  $db = new PDO('mysql:host=localhost;dbname=pdotest','root','');
} 
catch(Exception $e)
{
  echo $e->getMessage();
}
if(isset($_GET['id']))
{
  $id = $_GET['id'];
}
else
{
  $id=1;
}
$query = "select balabala from table1 where 1=?";
echo "id:".$id."</br>";
$row = $db->prepare($query);
$row->bindParam(1,$id);
$row->execute();
$result = $row->fetch(PDO::FETCH_ASSOC);
if($result)
{
  echo "结果为：";
  print_r($result);
  echo "</br>";
}

将输入的内容和得到的结果打印在页面上：

PDO与安全问题相关的主要的设置有下面三个:

PDO::ATTR_EMULATE_PREPARES

PDO::ATTR_ERRMODE

PDO::MYSQL_ATTR_MULTI_STATEMENTS

分别与模拟预编译、报错和多句执行有关。

PDO默认是允许多句执行和模拟预编译的，在之前的很多文章中已经写到，在参数可控的情况下，会导致堆叠注入。

例如我们把查询语句改成：

$query = "select balabala from table1 where 1={$id}";
$row = $db->query($query);

则在$db->query()这一步执行之前，我们便可以对$query进行非法操作，那PDO相当于没用：

PDO默认设置存在的安全隐患：

如果我们在查询语句中没有可控的参数，并把输入的参数按照prepare->bindParam->execute的方式去写就一定没有问题了吗？

我们按如下语句进行查询：

$query = "select balabala from table1 where 1=?";
$row = $db->prepare($query);
$row->bindParam(1,$_GET[‘id’]);
$row->execute();

我们在URL中随便输入一个参数：?id=asdasd，然后通过设置SET GLOBAL GENERAL_LOG=ON，从.log里实时监控，看看sql语句到底执行了什么：

我们发现模拟预编译的请求发送方式和以往的mysqli并没有什么区别，但我们注意到，在原有的查询语句中对参数并没有用单引号包裹，而在此却用单引号进行了包裹，于是我们可以尝试输入一些特殊字符，比如单引号：

发现单引号被转义了，这时我们不由得想到如果设置了gbk编码会怎么样：

我们会发现select * from table1成功执行了，尽管PDO只会返回一个结果，但是它的的确确执行了。

也就是说，即使查询语句里没有可控参数，只有?或者:id这类被绑定的参数，依然可以进行堆叠注入。

那如果把多句执行关掉呢？

我们把PDO::MYSQL_ATTR_MULTI_STATEMENTS设为false，重复上述操作：

发现已经行不通了。

实际也只执行了设置gbk这一条语句

但是这样就结束了吗？

为什么不试试union注入等其他方式呢？

经过尝试，发现union注入也是可以的！根本不需要进行多句执行！

实际上，在模拟预编译的情况下，PDO对于SQL注入的防范（PDO::queto()），无非就是将数字型的注入转变为字符型的注入，又用类似mysql_real_escape_string()的方法将单引号、双引号、反斜杠等字符进行了转义。

这种防范方法在GBK编码的情况下便可用宽字节进行绕过，而在非GBK编码的情况下，若存在二次注入的情况，是否能利用呢？

答案是否定的。

二次注入是由于对添加进数据库中的数据没有再次处理和转义而导致的，而预编译对每次查询都进行转义，则不存在二次注入的情况。

上述安全隐患，是由于未正确设置PDO造成的，在PDO的默认设置中，PDO::ATTR_EMULATE_PREPARES和PDO::MYSQL_ATTR_MULTI_STATEMENTS都是true，意味着模拟预编译和多句执行是默认开启的。

而在非模拟预编译的情况下，若语句中没有可控参数，是否还能这样做呢？

答案是否定的。

我们将PDO::ATTR_EMULATE_PREPARES设为false，来看看sql语句到底执行了什么：

它对每一句sql语句都进行了预编译和执行两个操作，在执行select balabala from table1 where 1=?这句时，如果是GBK编码，那么它将会把?绑定的参数转化成16进制，这样无论输入什么样的东西都无法再进行注入了。

如果不是GBK编码，如上面所说，也不存在二次注入的情况，故可以避免SQL注入漏洞。

相同原理的Prepare Statement方法

PDO的原理，与Mysql中prepare语句是一样的。上面PDO所执行的SQL语句，用如下的方式可以等效替代：

Set @x=0x31
Prepare a from “select balabala from table1 where 1=?”
Execute a using @x

我们可以手动将输入的参数设置为@x，并将其转化为16进制，随后预编译，再执行

也就是说，不用PDO也可以仿照其原理手动设置预编译：

$db = new mysqli('localhost','root','','pdotest');
if(isset($_GET['id']))
{
	$id = "0x".bin2hex($_GET['id']);
}
else
{
	$id=1;
}
echo "id:".$id."</br>";
$db->query("set names gbk");
$db->query("set @x={$id}");
$db->query("prepare a from 'select balabala from table1 where 1=?'");
$row = $db->query("execute a using @x");
$result = $row->fetch_assoc();
if($result)
{
	echo "结果为：";
	print_r($result);
	echo "</br>";
}

得到的结果和使用PDO是一样的：

这样设置不用担心没有合理地设置PDO，或是用了GBK编码等情况。