SQL Injection a través de mysql_query

Question

Estoy trabajando en un sitio que ha sido pirateado a través de SQL Injection (a primera vista, solo las entradas de db están dañadas con scripts entre sitios) la vulnerabilidad potencial que encontré después de mirar el código es que hay una mucha llamada mysql_query cuyas entradas no se escapan en absoluto.

El buen viejo:

$query = "SELECT * FROM mytable where name LIKE '%".$_GET['name']."%'"; /*HACK HERE*/ 
mysql_query($query, $connection); 

Sin embargo no puedo encontrar cómo podemos hacer algo frío desde que la vulnerabilidad de inyección (por frío me refiero a algo como un INSERT o un UPDATE). Intenté construir una declaración como esta:

SELECT * FROM mytable where name LIKE '%' AND WHERE id IN (INSERT INTO secondtable (id,description) VALUES (15, 'Fifteenth description');--%' 

Ningún éxito. Supongo que el INSERT no tiene nada que hacer aquí.

Estoy escapando de todas las entradas de usuario en el código en este momento, pero realmente no entiendo cómo han penetrado los hackers en este sitio, entonces no estoy 100% seguro de que mi solución hará el trabajo. ¿Alguna sugerencia brillante?

Gracias

Answer 1

$query = "SELECT * FROM mytable where name LIKE '%".$_GET['name']."%'"; 

$_GET['name']="'; DROP TABLE mytable; -- "; 

por lo

$query = "SELECT * FROM mytable where name LIKE '%'; DROP TABLE mytable; -- %'"; 

Answer 2

ahora, ha sido un tiempo desde que lo hizo cualquier php, pero en general la mayoría de librerías de acceso a datos tienen algún tipo de SQL parametrizada para reducir el riesgo. Un Google rápido se le ocurrió esto para php: http://php.net/manual/en/pdo.prepared-statements.php

El otro cartel ya describió cómo hacer una inyección sql, así que no entraré en eso.

Answer 3

Posible escenario 1
Contraseñas/hash débiles permitirán a un atacante seleccionar la contraseña del administrador.
Sería conveniente cambiar todas las contraseñas de los administradores.

Answer 4

Porque mysql_query no es compatible con varias consultas, por lo que cualquier inyección que está haciendo como '; DROP TABLE mytable; -- no tendrá éxito.

Sin embargo, el atacante puede combinarse con otra instrucción de selección para seleccionar la otra información, como la información de contraseña.

Answer 5

Estoy bastante seguro de que un hacker podría modificar la consulta fácilmente. Incluso si mysql_query() no es compatible con múltiples consultas, hay formas de evitarlo. solo podría usar una instrucción mysql IF agregada hasta el final, y por supuesto que ejecutará una consulta completamente nueva.

Answer 6

Según la versión de mysql que esté utilizando, y la configuración de la conexión, mysql_query puede permitir more than one statement.

Debería ver cómo se está creando la conexión y para cualquier uso de mysql_set_server_option.