PHP+PDO+MySQLの組み合わせではSQLインジェクション攻撃で複文呼び出しが可能

基礎からのPHPという書籍を読んでおりましたら、SQLインジェクションの攻撃例として、以下のSQL文ができあがる例が紹介されていました。PHP+PDO+MySQLという組み合わせです。 SELECT * FROM tb2 WHERE ban=1;delete from tb2 2つのSQL文がセミコロンで区切って1つにまとめられていますが、これを「複文(multiple statement)」と言います。私は、SQLインジェクション攻撃の文脈で複文が使える組み合わせを調べたことがあり、PHPとMySQLという組み合わせでは、複文は使えないと思っていましたので、この攻撃は成立しないのではないかと思いました。 しかし、決めつけも良くないと思い手元の環境で動かしてみたところ、あっさり動くではありませんか。 PDOを用いてMySQLを呼び出す場合は複文が実行できると気づきましたが、なぜPDOの場合

[bell15]

php

[deep_one]

他のDBだとどうなのだろう？

[tajima_taso]

“ジョンでの”

[enemyoffreedom]

PDO＋MySQLで複文SQLを実行させない方法

[k-holy]

アプリケーションから接続するユーザーの権限を制限することも重要ですね

[tmtms]

MULTI_STATEMENTS はプログラムから CREATE TABLE 文とか dump の結果を MySQL に垂れ流す時に便利。MySQL/Ruby は一時期デフォルトで ON にしてたけど、危険そうな気がして OFF に倒した。

[nakunaru]

"SQLインジェクションは元々「あってはならない」脆弱性であって、複文実行が可能になったからと言って、それが変わるわけではないからです"

[ktakeda47]

"PDO::setAttribute(PDO::ATTR_EMULATE_PREPARES, false);"

[ww_zero]

PHP+PDO+MySQLという環境においてはデフォルトで動的プレースホルダが使用されるため、この問題が起こるということかな。PDO::setAttribute(PDO::ATTR_EMULATE_PREPARES, false); を設定して静的プレースホルダを使うべし。

[hogege]

「PDO::setAttribute(PDO::ATTR_EMULATE_PREPARES, false);により複文の実行も予防できる」

[m_shige1979]

こういうのは事前にチェックを通したほうが良いかもセカンドオーダーインジェクションみたいなやつかな？

[nemoba]

"アプリケーションにSQLインジェクション脆弱性があると"、通常の攻撃に加えて複文による攻撃が可能となり、データの変更や削除が可能となる

[gontta]

いい