Dirección IP inyección SQL

Question

¿Es posible que un usuario forje el resultado que se devuelve desde $_SERVER['REMOTE_ADDR'] en PHP, por lo que en teoría podrían usar la inyección SQL en una base de datos?

Esto es un poco tonto, pero sigo suficiente para PHP nueva que yo quiero saber si se puede hacer, ya sea o no que necesito para desinfectar entrada de base de datos cuando la declaración SELECT elige a partir de direcciones IP devueltas desde $_SERVER['REMOTE_ADDR'] . Entonces, si quisiera usar algo como $query = "SELECT * FROM users WHERE IP='" . $_SERVER['REMOTE_ADDR'] . "'";, ¿habría algún peligro para que yo haga esto?

Nuevamente, probablemente sea una pregunta "nooby", pero creo que debe ser preguntado.

Gracias

Answer 1

Es un tramo, y es poco probable, pero yo no iría tan lejos como para decir que es imposible. Entonces ....

Utilice consultas parametrizadas de todos modos.

Incluso si nunca te atacan a través del campo de dirección IP, aún obtendrás el beneficio adicional de consultas más rápidas mediante el almacenamiento en caché.

Answer 2

desinfectar siempre todas las entradas externas - utilizar mysql_real_escape_string, o mejor aún, prepared statements

Answer 3

Puede utilizar las funciones de filtrado de datos de PHP.

filter_var() con FILTER_VALIDATE_IP validará la dirección IP remota. Si la dirección IP remota es válida, úsela en SQL.

EDIT: filter_input() con INPUT_SERVER es otra opción;)

http://www.php.net/manual/en/book.filter.php

http://www.php.net/manual/en/filter.filters.validate.php

http://www.php.net/manual/en/function.filter-var.php

http://www.php.net/manual/en/function.filter-input.php

Espero que esto ayude,

Simeon

Answer 4

Siempre pongo este código en todos mis proyectos (algunas desinfección de entrada inicial), para evitar que algo desagradable con IP falsas continúe. No estoy seguro de si pueden falsificar REMOTE_ADDR de todos modos.

function validate_ip($ip) { 
    // Try IPv4 First, as its the most used method right now 
    if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) { 
     // Oops... try v6 
     if(!filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) { 
      return false; // Sorry... 
     } 
     else { 
      return true; 
     } 
    } 
    else { 
     return true; 
    } 
} 
if(!isset($_SERVER['REMOTE_ADDR'])) # wtf? 
    die("Could not find your IP Address..."); 
else { 
    if(validate_ip($_SERVER["REMOTE_ADDR"])) 
     die("Could not validate your IP Address..."); 
} 

Answer 5

Creo que la única manera para que alguien forjar $_SERVER['REMOTE_ADDR'] sería construir un paquete IP con una dirección IP falsa (ya que es fijado por el servidor, no el cliente), en la que serían encaminados respuestas de casos volver a la dirección falsa. Si está preocupado por los ataques de inyección, creo que está bien porque los campos de dirección en los paquetes de IP solo tienen espacio para las direcciones.

Answer 6

REMOTE_ADDR no es enviado por el cliente, lo configura el servidor. Si bien es técnicamente posible falsificar una dirección IP a nivel de red, el atacante tiene que trabajar a ciegas. La parte más complicada es adivinar el sequence number. (Debajo de Coldfusion, por cierto, es another story.)

Como han dicho otros, use declaraciones preparadas y no tiene que preocuparse por la inyección de SQL (aunque son posibles otros tipos de ataques de inyección).

Answer 7

Para mayor eficiencia y seguridad, es posible que desee almacenar y trabajar con IP como datos en su base de datos.

La forma sencilla de almacenar direcciones IP es usar un campo varchar en su base de datos. Sin embargo, otra forma de representar IPs es como un entero. La conversión de la IP suministrada de esta manera lo desinfectará, y también hará que su almacenamiento y consultas sean más eficientes. Almacenar una INT ocupa menos espacio en una base de datos, y funciona mejor para la indexación y creo que el almacenamiento en caché de consultas.

Consulte ip2long y long2ip para las funciones de PHP a convertir, y inet_aton y inet_ntoa para hacerlo en MySQL.

Por lo tanto, el proceso podría ser algo así

$user_ip=ip2long($_SERVER['REMOTE_ADDR']); 
if(!$user_ip){ //returned false due to odd input 
    echo 'wtf, yo'; 
    } 
else{ 
    //do your query 
    } 

También puede desinfectar una IP y mantenerla en forma de cuaterna original, mediante la combinación de los dos

$user_ip=long2ip(ip2long($_SERVER['REMOTE_ADDR'])); 

Answer 8

No se puede confiar en REMOTE_ADDR es cierto ... podría ser la dirección incorrecta debido a proxies anonimizantes o algún truco similar. Usted puede confiar en que siempre es una dirección IP, por lo que la inyección SQL por esta ruta es imposible.

Descendente en la parte inferior de la pila, que se ha convertido desde la dirección de origen en los paquetes que hacen la conexión TCP a su servidor. Eso significa que a) tiene que ser una dirección IP yb) tiene que volver al cliente para que la conexión se realice.