php - PHP 表单的 SQL 注入(inject)威胁？

Question

我试图证明在 PHP 中准备语句的必要性，但我遇到了一点问题，因为 PHP 使用通过表单传递的字符串做了一些很奇怪的事情。

我试图“打破”的陈述很简单:

SELECT username FROM users WHERE username = '$username' AND password = '$password'

但是为密码传递 X' 或 TRUE;-- 之类的操作实际上不起作用，因为 PHP 会自动转义单引号并将语句转换为:

SELECT username FROM users WHERE username = '$username' AND password = 'X\' or TRUE;--'

并且由于转义单引号，密码相等性保持不变。这个陈述被认为是安全的吗？不然怎么破？

Answer 1

听起来您好像启用了魔术引号。我绝对不会认为该声明是安全的，因为如果您将其移动到运行 PHP 5.4 的服务器上，它将完全容易受到攻击。魔术引号长期以来一直是一个被弃用的功能，它会扰乱应用程序的其他部分，所以不要依赖它。

为了演示，只需在 php.ini 中设置 magic_quotes_gpc = Off。