PHP magic_quotes_gpc漏洞

Question

我被分配到我公司的一个遗留Web应用程序,经过一两天的探索,我发现了一个类似于以下内容的SQL注入向量:

mysql_query("SELECT * FROM foo WHERE bar='" . $_GET['baz'] . "'");

我试图对此执行SQL注入测试,但由于PHP的magic_quotes_gpc模块已打开,它失败了.

我知道magic_quotes_gpc是脏的,但我们有数百-如果不是数千-类似于上面的一个行的代码.我们根本无法magic_quotes_gpc关闭,因为这会使像这样的代码大开.

我想知道上面的代码是如何"可利用"的,以及我们是否应该立即修复它,或者包括修复它与我们的其他重构任务的任务.

Answer 1

转换网站的常用方法magic_quotes_gpc是添加包装函数:

function m($s) {
    if (get_magic_quotes_gpc())
        $s= stripslashes($s);
    return mysql_real_escape_string($s);
}

mysql_query("SELECT * FROM foo WHERE bar='".m($_GET['baz'])."'");

这将解决addslashes不能识别字符集的问题,在某些情况下可能导致它易受攻击,并且通常会使代码继续像以前一样"工作".

但是从长远来看,依赖于输入转义是不可持续的,因为它会将斜杠乘以您没有插入数据库的输入字符串,并且无法转义您从其他来源插入数据库的字符串.这是magic_quotes_gpc错误的真正原因:它将输出阶段编码应用于输入阶段.

因此,添加包装器函数,然后慢慢更新所有SQL插值以使用它.当你得到它们时,你可以关掉魔法引号.