PHP Web安全实战：SQL注入防护全解析

　　PHP Web安全实战：SQL注入防护全解析——这标题不是我随便起的，是去年高考期间盯了三套真题网站后台日志整整17天后定下的。那会儿安徽某县教育局官网被刷出432条非法SELECT语句，攻击者用的是`' OR 1=1 -- `绕过登录，但真正致命的是一条藏在考生籍贯字段里的`%27%20UNION%20SELECT%20username,password,1%20FROM%20admin`，数据库没开错误提示，可响应时间突增3.8秒——我抓包时手抖了一下。

　　我试过PDO预处理+mysql_real_escape_string双保险，在本地PHP 8.1环境跑通，结果上线第三天就被绕过了。原因？一个没注意到的细节：`set_charset('gbk')`之后，`\\x5c\\x27`会被MySQL误解析成单字节字符，导致`mysql_real_escape_string`失效——这个坑是某次重放测试时偶然发现的，当时`%A1%5C'`构造的宽字节注入直接进了用户表。

　　去年高考期间，我紧急给全省127个区县级招考系统打了补丁：强制统一UTF-8、禁用所有动态拼接的ORDER BY字段、把`$_GET['sort']`校验逻辑从白名单改成硬编码映射（只允许'score'/'name'/'reg_time'三个键），还加了SQL关键字二级检测层——用strpos而非正则，避免回溯爆炸。上线后第七小时，徐州某考点监控发现63次含`information_schema`的请求，全部503拦截。不过第11次拦截日志里，攻击者改用了`SLEEP(3)`结合布尔盲注，响应体大小没变但延迟翻倍，这说明防护层没覆盖时间型注入。

　　新技术？对，就是它。
　　我指的不是所谓“智能WAF”，而是把PHP 8.2的`FILTER_SANITIZE_FULL_SPECIAL_CHARS`和自定义PDO异常处理器绑死——异常捕获到`SQLSTATE[HY000]`时，立刻记录完整上下文并主动sleep(rand(2,5))，让暴力探测成本陡增。上周压力测试，3万次自动化payload里，27%因响应时间熵值异常被判定为可疑，直接丢进冷池队列。但这方案有个问题：当数据库主从延迟超1.2秒时，sleep逻辑会让正常用户也卡住——所以至今只敢在非核心业务线灰度。

　　PHP Web安全实战：SQL注入防护全解析
　　我亲手拆过ThinkPHP 6.1的Db类源码，发现其`where()`方法底层调用`buildWhere`时，若传入闭包且闭包里用字符串拼接，`$this->query()`照样中招——文档根本没写这限制。后来在合肥一个职校报名系统里复现了：学生用学号`202201' and (select sleep(5))#`，成功拖慢全校注册流52秒。这事让我现在看到任何带闭包的ORM链式调用，都会下意识检查`__toString()`有没有被污染。

　　去年6月7日凌晨2点，滁州招办系统日志里出现一条异常：`' OR SLEEP(9)='`被拦截，但紧跟着三条用base64编码的payload混在HTTP头X-Forwarded-For里，解码后是`SELECT FROM user WHERE id=1 AND (SELECT COUNT() FROM information_schema.columns)>0`。防火墙没拦——因为没走SQL接口，走的是JSONP回调参数。这提醒我：防注入不能只盯`$_GET/$_POST`，连`getallheaders()`都得过一遍关键词。不过我现在还不知道怎么优雅地拦截这种头部注入，只能先临时加个`if(strpos($header_value, 'SELECT')!==false) die()`——丑，但管用。

文章配图，仅供参考

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!