壞蛋的部落格

是那個programmer 要不要自已去注意的問題
不是書太爛 XD
資料網路一堆

我印象中 mysql 新版的 都可以自動過濾這種問題了
不用特別寫程序去過慮了吧??

這種knowledege,看過、學過就會了. 找人才的重點還是在他的理解、應變能力好不好.

你好,我有些與prepared statement的問題想請教
http://php.net/manual/en/pdo.prepared-statements.php
提及到以下一句(請留意括號內的句子)
The parameters to prepared statements don’t need to be quoted; the driver automatically handles this. If an application exclusively uses prepared statements, the developer can be sure that no SQL injection will occur (however, if other portions of the query are being built up with unescaped input, SQL injection is still possible).

那不是指閣下依然要使用addslashes,htmlspecialchars,等去 unescaped input嗎???

另外還有一問題
$sql = “SELECT * FROM users WHERE user_id=?”;
$sth = $pdo->prepare($sql);
$sth->execute( array(’100”101′,’102′);

在以上的program中,有沒有幫法return回閣下實際執行過的SQL呢?e.g.
SELECT * FROM users WHERE user_id=’100′
SELECT * FROM users WHERE user_id=’101′
SELECT * FROM users WHERE user_id=’102′
因為我希望記錄所有執行過的SQL

那麼意思是使用escape function來取替addslashes,而htmlspecialchars則看自己需要來決定是否加上,對嗎?

假如我使用PDO,但不使用prepare statement,那麼該如何escape string呢?因為php好像沒有為PDO提供類似的function

假如我需要執行一句SQL(我覺實際情況大部份時間也只會執行一句SQL一次,很少會執行數次),那麼該用prepare statement嗎?因為直接執行
$count = $dbh->exec(”DELETE FROM fruit WHERE colour = ‘red’”);
看起來較簡單及快捷

正如你舉的例子,假如我堅持使用IN , 而$arr的element不是3個是300個,當中部份是有SQL injection的機會,哪麼如何使用prepare statement去解決此問題呢??
SELECT * FROM users WHERE user_id IN ( $arr )
$arr(”100″,”101″,”102″,……………”‘ OR ”=’”);

現在台灣的程式設計師對Information Security相關知識明顯不足，這可能是台灣針對這一塊不夠重視，不管是教育界或是業界甚至政府單位都一樣，往往都在出事後才亡羊補牢，有些甚至不理，網站被植入back door也就算了，還被掛馬，增加使用者的安全隱憂與不便。

小弟認為，要學程式設計之前要先稍為專研資訊安全，而資訊安全這部分在學校的相關科系就應該列為必修。想當年小弟在混資訊工程的時候，等到大三才等到有老師開資訊安全的課程，而且還是選修，雖然那時候是抱著想噹老師的心態去上的，畢竟從高中就在玩SQL Injection，想試試自己在這方面的程度在哪，好笑的是，沒噹到老師，反而跟老師聊開了0.0。

剛好回想到，大三的時候有在台中某科技公司當實習生，剛去沒幾天又跟老闆聊開了，老闆知道我有在搞資安，說好聽一點是搞資安，說難聽一點是搞hacker (不是cracker喔！別誤會了！0.0)，所以每次跟我聊天都會跟我說，不要一直搞資安了，多花點心思在程式設計上，資安是常時間研究的東西，並非一蹴可幾的，現在想想也是啦，當初就是搞得太入迷，偵九隊才找我去泡茶 = =a。

資訊安全這東西太廣了，從系統安全、網路安全、漏洞分析、加解密、等…太多太多了，實在是學不完，而學這些東西都是應用在預防的動作，對於事後的應變與處理也十分重要，沒有人敢說他的系統100%安全，連NASA、FBI都一樣，所以不管是IDS、IPS、漏洞分析諸如此類能做的盡量做，不幸被入侵了也能在最短的時間內檢查主機、修補漏洞並馬上恢復運作降低損失，且保留所有Log以利進行法律程序，對企業或政府來說這才是一個理想的程式設計師(MIS可能要改行了0.0)。

防SQL注入的方法有很多，可從PHP環境設定來達到或自己套個Filter，也可使用PHP函數來達到，如pigo大哥所說的mysql_escape_string、mysql_real_escape_string、prepare+execute(PDO)。
以登入表單來說，小弟防注入的方法是：username就限制只可用英文與數字，password直接做MD5加密儲存與比對，這樣就不會有SQL注入的問題了，且密碼有絕對的隱密性。

by the way~
請問pigo大哥，方便說出貴公司的名稱與地址嗎？想去應徵面試看看，小弟剛大學畢業沒多久，在程式設計方面還算新手，希望有機會可以多多請教前輩們，偷學幾招，呵呵！

上述內容若有不妥之處或造成您反感的地方請見諒，小弟只是說出自己的想法，也請多多指教！

@pigo

當然，如pigo大哥所說，這是不可否認的，所以我才說入侵檢測、漏洞分析等等…都不可省
還有一個常見的是XSS攻擊，XSS是不可輕忽的一種攻擊手法，方法簡單但傷害很大
幾分鐘就可弄掛好幾個站，之前國外知名BSP服務「Myspce」就是被XSS搞掛的，受害用戶高達數百萬

這裡小弟提供一個小偏方，也算是免費的漏洞分析，網頁設計師可嘗試看看：
當設計好一個系統後，這時你就可以把站架起來弄個IP或網址，貼到對岸、日本、美國、德國知名的hacker網站，自然就有手癢的民眾幫你做漏洞分析了，呵呵，不過要小心遇到大尾的hacker，到時連log都沒得看0.0！

對了，這句「我還想你介紹我公司咧 ! 」~ 是說叫小弟幫你們公司宣傳嗎？呵呵！

Pong :
那麼意思是使用escape function來取替addslashes,而htmlspecialchars則看自己需要來決定是否加上,對嗎?
假如我使用PDO,但不使用prepare statement,那麼該如何escape string呢?因為php好像沒有為PDO提供類似的function
假如我需要執行一句SQL(我覺實際情況大部份時間也只會執行一句SQL一次,很少會執行數次),那麼該用prepare statement嗎?因為直接執行
$count = $dbh->exec(”DELETE FROM fruit WHERE colour = ‘red’”);
看起來較簡單及快捷
正如你舉的例子,假如我堅持使用IN , 而$arr的element不是3個是300個,當中部份是有SQL injection的機會,哪麼如何使用prepare statement去解決此問題呢??
SELECT * FROM users WHERE user_id IN ( $arr )
$arr(”100″,”101″,”102″,……………”‘ OR ”=’”);

可以參考看看這樣寫…前幾天剛好有人問…
http://www.timteam.org/?TIM=FORUM&FORUM=1&ShowDocument=15008#TIM15008

我覺得!不應該用這種方式,面試一個程式設計師程度;並不是所有的RD領域都是在資安上面;SQL Injection很早之前就有人在研究,方法解決網路上可以找到很多,而且我相信只要肯學,這種問題不會不能解決;我相信台灣還是有很多了不起的人才;你沒有遇到表示你緣份不夠,這樣測試顯的不夠客觀吧!
我也有遇到學歷只有高中畢業,不過寫出來的程式面面俱到

那也跟台灣教育沒什麼關係吧!不用拿台灣書籍跟教育來說教的不夠吧!
師父領進門修行在個人!很多東西都是出了社會,才會學的到!
那如果你只是要測試他作過的網站夠不夠大,我以前應徵RD的經驗給你作參考,叫他秀作品給你看,針對他的作品提出問題,順便問問他,有規劃過SA或SD嗎?
有些人一輩子都在作AP系統的開發,如果只是要作內部AP系統的話,就不太需要了解SQL Injection;當然人家如果還沒來面試時,你就問你是作那些方面的RD;也可節省您的時間,跟他的時間!
你也不用常說面試不到對的人;可能你也不知道有些有經驗的人,也會被自己的經驗害死!