Skydda PHP-serverbeteenden från SQL-injektionssårbarhet

Problem

Vissa databaser gör det möjligt för dig att skicka flera SQL-satser i en enda förfrågan. Därför finns det potentiella säkerhetsrisker när du skickar parametrar i en frågesträng till en dynamiskt genererad databasfråga. Hackare skulle kunna försöka ändra URL- eller formulärvariabler i en dynamisk fråga genom att lägga till skadliga SQL-satser till befintliga parametrar. Det här kallas ofta en SQL-injektering. En del av serverfunktionskoden som har skapats av Dreamweaver ska ändras för att minska risken för SQL-injektering. Mer bakgrundsinformation om SQL-injektioner finns i den här Wikipedia-artikeln. (Ref. 201713)

Obs: Problemet som beskrivs i denna TechNote har åtgärdats i Dreamweaver 8.0.2 Updater.

Denna TechNote täcker Dreamweavers PHP-serverbeteenden.Det finns separata TechNotes för ColdFusion, ASP VBScript, ASP JavaScript, och JSP serverbeteenden.ASP.NET-serverbeteendena påverkas inte.

Lösning

Se till att endast den förväntade informationen skickas när du tillåter en frågesträng skicka en parameter vidare. Adobe har skapat en Dreamweaver 8.0.2 Updater som minskar risken för SQL-injektionsattacker. Dessa korrigeringar kommer att ingå i alla framtida versioner av Dreamweaver.Efter att ha uppdaterat Dreamweaver 8 behöver du återanvända serverbeteendena på de sidor som använder dem och distribuera om dessa sidor till din server.

Resten av denna TechNote dokumenterar hur du manuellt redigerar Dreamweaver MX 2004-kod för att förhindra SQL-injektionsattacker med PHP-servermodellen.Serverbeteenden som är sårbara för dessa attacker listas nedan, tillsammans med korrigeringar:

• Postuppsättning med ett filter
• Insert, Update och Delete Record server behaviors och Record Insertion Form wizard
• Inloggning användare
• Check New User
• Huvudsiduppsättningen med information
• Record Update Form wizard

Postuppsättning med ett filter

Ofiltrerade postuppsättningar behöver inte ändras men det behöver filtrerade postuppsättningar. I exemplet nedan filtreras en Dreamweaver MX 2004 recordset med namnet "rs_byDate" efter ett datumvärde som skickas in från en URL-parameter. Den markerade koden nedan är det som behöver ändras:

<?php $colname_rs_byDate = "1"; if (isset($_GET['relDate'])) { $colname_rs_byDate = (get_magic_quotes_gpc()) ? $_GET[&apos;relDate&apos;] : addslashes($_GET[&apos;relDate&apos;]); } mysql_select_db($database_dreamqa2, $dreamqa2); $query_rs_byDate = sprintf(&quot;SELECT * FROM albums WHERE relDate = &apos;%s&apos;&quot;, $colname_rs_byDate); $rs_byDate = mysql_query($query_rs_byDate, $dreamqa2) or die(mysql_error()); $row_rs_byDate = mysql_fetch_assoc($rs_byDate); $totalRows_rs_byDate = mysql_num_rows($rs_byDate); ?>

För att skydda recordset från SQL-injektionsattacker ska en anpassad GetSQLValueString()-funktion skapas närmare toppen av sidan. Denna funktion verifierar datatypen för frågeparametern. När funktionen har skapats ska du uppdatera recordset-koden för att använda GetSQLValueString()-funktionen.

Server behaviors för Insert, Update och Delete Record samt Record Insertion Form-guiden

Server behaviors för Insert, Update och Delete Record samt Record Insertion Form-guiden använder redan funktionen GetSQLValueString(), så de behöver förfinas för att förhindra SQL-injektioner. De enda ändringarna som behövs är i funktionen GetSQLValueString().

Här är den ursprungliga koden. Raden som ska ändras är markerad i gult:

if (!function_exists("GetSQLValueString")) { function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") {$theValue = (!get_magic_quotes_gpc()) ? addslashes($theValue) : $theValue; switch ($theType) { case "text": $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; break; case "long": case "int": $theValue = ($theValue != "") ? intval($theValue) : "NULL"; break; case "double": $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL"; break; case "date": $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; break; case "defined": $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue; break; } return $theValue; } }

Uppdatera definitionen av variabeln $theValue:

Ursprunglig kod:

$theValue = (!get_magic_quotes_gpc()) ? addslashes($theValue) : $theValue;

Modifierad säker kod:

$theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue; $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);

Serverfunktionen Logga in användare

Här är stegen för att åtgärda serverbeteendet Logga in användare:

Serverfunktionen Kontrollera ny användare

Serverfunktionen Kontrollera ny användare kräver att serverfunktionen Infoga post läggs till på den första sidan. Funktionen GetSQLValuesString() ingår i serverbeteendet Infoga post. Allt som behöver göras är att uppdatera GetSQLValuesString() för att bättre hantera SQL-injektion och uppdatera serverbeteendet Kontrollera ny användare för att använda denna funktion när en parameter skickas in.

Huvudsiduppsättningen med information

För tillämpningsobjektet Huvudsiduppsättning med information är ändringarna i huvudsak i postuppsättningen som Dreamweaver skapar för Informationssidan. Om du inte har en filtrerad postuppsättning på huvudsidan behöver inga ändringar göras på Huvudsidan. Om du har en filtrerad postuppsättning, se postuppsättning med ett filter för att uppdatera postuppsättningskoden.

Dreamweaver skapar en filtrerad postuppsättning på detaljsidan, så den postuppsättningskoden behöver uppdateras för att använda en GetSQLValueString()-funktion för att skicka in parametrar och sprintf() för att konstruera SQL-strängen.

Guiden Postuppdateringsformulär

Ytterligare information

Se följande artikel för mer information om SQL-injektion: Wikipedia-artikel om SQL-injektion.

Adobe Security Bulletin: APSB 06-07 Dreamweaver Server Behavior SQL Injection vulnerability.