PHP Web安全实战：SQL注入防护精要

　　“PHP Web安全实战：SQL注入防护精要”——这本小册子我近两个月每天翻三次，PDF页码是137，第42页的PDO预处理参数绑定流程图，我手写批注了17处箭头和问号。它真用上了PHP 8.2的typed property配合strict_types=1做输入校验入口，在本地复现CVE-2023-29197时，这个组合比旧版mysqli_real_escape_string少触发3次绕过。

　　上上周三下午，客户“启点教育”的后台系统崩了——他们刚把用户注册表单从MySQLi改写成PDO，却漏掉了一处动态ORDER BY字段的拼接。我调出错误日志：SQLSTATE[42000]：Syntax error or access violation: 1064 You have an error in your SQL syntax… near 'admin ASC, (SELECT SLEEP(5))' ——攻击者用UNION SELECT + SLEEP爆破出了管理员邮箱前缀。他们没读手册第8章“不可信排序字段的白名单映射表”，那个表格列了12个合法值（created_at、score、grade_level），但开发写了array_flip(['id'=>'id','name'=>'name'])后直接$_GET['sort']取键——结果攻击者传了?sort[name]=xx%00，触发了PHP 8.1的数组键解析缺陷，绕过白名单校验。

　　新技术。

　　真正让我愣住的是附录B的“反向混淆测试集”：它不只给常规payload（' OR 1=1--），还包含PHP 8.3-alpha中刚合入的mb_convert_encoding()字符折叠漏洞利用链——比如用gbk编码传入%a1%a1%27%u963F%u963F，经转换后变成中文全角单引号+普通单引号，导致mysql_real_escape_string失效。我拿这套数据在客户三套线上环境跑了14小时，发现其中一套Laravel 9.51 + MySQL 5.7集群在启用STRICT_TRANS_TABLES模式下，竟对%e4%b8%ad%27 or 1=1#的utf8mb4请求返回200——而手册第67页脚注写着“该payload在PHP 8.2.12+libmysqlclient 8.0.33已确认拦截”。我立刻抓包对比，发现他们php.ini里pdo_mysql.default_socket指向的是老旧的sock文件，而非新版libmysqlclient动态库。

　　手册里说“永远不要信任客户端传入的LIMIT偏移量”，可没提具体数值陷阱——上周四我帮“融信支付”审计时，发现他们用了abs(intval($_GET['offset']))，以为绝对安全。结果攻击者传offset=9223372036854775807（PHP_INT_MAX），intval截断为-1，abs(-1)得1，但MySQL收到LIMIT 1,18446744073709551615（超大数）时，直接退化为全表扫描。他们3TB订单表因此被拖慢至平均响应12.7秒。

　　这书的优点在新技术。

　　第109页的“防御性日志染色机制”是我见过最狠的实操设计：它让所有SQL执行前先调用debug_backtrace()生成调用栈哈希，再与预埋在config.php里的白名单哈希比对；若不匹配，自动将完整SQL、$argv、$_SERVER['HTTP_USER_AGENT']打包发到内部Telegram机器人，并在error_log里写明“【非业务路径触发】请检查app/Services/ReportGenerator.php第34行是否误用了原生query()”。我在“智云医疗”的患者档案导出模块部署后，第三天就捕获到运维同事调试时留下的test_sql.php——那玩意儿居然硬编码了root密码！

　　但第123页的“JSON型WHERE条件防注入方案”跑不通——它建议用json_decode($input, flags: JSON_OBJECT_AS_ARRAY)，再递归遍历键值做filter_var，可真实场景中，有个客户传入{"status":"active","tags":["%admin%"]}，其中%被当作LIKE通配符逃逸了。我试了7种过滤顺序，最后发现必须在JSON decode前先preg_replace('/(%|_)/', '\\\\\\$0', $raw)才稳。

　　我不知道第123页的作者有没有试过带转义JSON的嵌套结构。

文章配图，仅供参考

　　接下来我要把手册第4章的“prepared statement生命周期可视化工具”改成实时hook扩展，监控PDO::prepare()的SQL模板哈希变化率——客户服务器上已有2台因hash突增300%被揪出隐藏的eval()拼接逻辑。不过这事儿得等我修完本地PHP 8.3的oci8扩展编译bug再说。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!