这个PHP/MySQL删除功能是否安全？

Question

我有一个设置,我从表中删除条目.

它基于URL的查询字符串,我认为这可能是一个不好的开始方式.

因此,如果URL是:

http://www.example.com/delete.php?id=123&ref=abc

而delete.php中的php如下:

$id=$_GET['id'];
$ref=$_GET['ref'];

$con = mysql_connect("blahblah","user","password");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

mysql_select_db("test", $con);

mysql_query("DELETE FROM mytable WHERE id=" . $id . " AND ref='" . $ref . "'");

mysql_close($con);

有没有办法让这更安全......或者这确实在任何方面都是安全的吗？

编辑:

好的,基于反馈,我采取了一种新的方法.

list.php包含表中每个条目的一组radiobuttons - 如下所示:

$con = mysql_connect("localhost","username","password");
if (!$con)
  {
  die('Could not connect: ' . mysql_error());
  }

mysql_select_db("db", $con);

$result = mysql_query("SELECT * FROM myTable");

echo "<form name='wer' id='wer' action='delete.php' method='post' >";

echo "<table border='1'>";

while($row = mysql_fetch_array($result))
  {
  echo "<tr>";
  echo "<td>" . $row['title'] . "</td>";
  echo "<td><input type='radio' name='test1' value='" . $row['id'] . "' /></td>";
  echo "</tr>";
  }
echo "</table>";
echo "<input type='submit' name='submit' value='Submit' />";
echo "</form>";

mysql_close($con);

而delete.php看起来像这样:

function check_input($value) {
    if (get_magic_quotes_gpc()) {
        $value = stripslashes($value);
    }
    if (!is_numeric($value)) {
        $value = "'" . mysql_real_escape_string($value) . "'";
    }
    return $value;
}

$con = mysql_connect("localhost","user","password");

if (!$con) {
    die('Could not connect: ' . mysql_error());
}

$varID = check_input($_POST["id"]);

mysql_select_db("db", $con);

$sql="DELETE FROM myTable WHERE id IN (" . $varID . ")";

if (!mysql_query($sql,$con)) {
    die('Error: ' . mysql_error());
}

mysql_close($con);

header("Location: list.php");

这是一个更好的方法吗？

Answer 1

1. 您有一个SQL注入漏洞,因为您没有清理放入查询的GET参数.攻击者可以使用它来删除表中的所有元素.
   对此的清洁解决方案正在使用prepared Statements.
   快速而肮脏的解决方案是将它们放在引号中并运行它们mysql_real_escape_string.
2. 即使您修复了该部分,如果攻击者可以猜出有效id/ ref对,他也可以删除该条目.
3. 如果参数是一个整数,那你为什么不把它的类型变成整数呢？就像是$id=intval($_GET['id'])

Answer 2

GET被认为是一种安全的方法,不应有任何副作用:

特别是,已经建立了这样的惯例:GET和HEAD方法不应该具有采取除检索之外的动作的重要性.这些方法应该被认为是"安全的".

在您的情况下,您的脚本可能容易受到跨站请求伪造.您应该更好地使用POST,并在删除之前考虑某种身份验证和授权检查.

此外,由于您使用未经审计和未修改的传递参数,因此您也容易受到SQL注入攻击.