Защита от хакеров корпоративных сетей

Функция addslashes добавляет символ обратной косой черты (\) перед всеми символами одинарных кавычек , двойных кавычек ("), обратной косой черты (\) и NULL-символами. Это серьезная защита от действий злоумышленника, пытающегося использовать SQL-запрос пользователя в своих целях. В SQL-запросах некоторых систем управления базами данных (например, Sybase или Oracle) для пропуска одинарных кавычек используются их дублирование («), а не символ обратной косой черты (\»). Для этого используется функция ereg_replace в следующем виде:

ereg_replace(“‘”, “‘’”, $data)

Защита запросов SQL

Пользователь может успешно противостоять атакам злоумышленника даже при всем богатстве арсенала средств использования злоумышленником SQL-запросов пользователя в своих преступных целях. На самом деле при правильном использовании SQL-запросов у злоумышленника почти нет шансов получить доступ к приложению пользователя.

Повсеместно используемый современный метод защиты от атак злоумышленника на SQL-запросы называется заключением в кавычки (quoting) и по существу основан на правильном заключении в кавычки передаваемых данных и контроле над отсутствием лишних кавычек. Многие средства программного интерфейса с базами данных (например, модули DBI языка Perl) предлагают использовать различные функции заключения строк в кавычки. Тем не менее, чтобы не было недопонимания по этому вопросу, рассмотрим процедуру quotedata на языке Perl.

sub quotedata {

my $incoming=shift;

$incoming=~s/[““]/’’/g;

return “‘$incoming’”; }

В процедуре для обработки входных данных используется функция подстановки языка Perl, которая в случае обнаружения одинарных или двойных кавычек подставляет вместо них две одинарные кавычки. Такой вариант обработки данных является допустимым способом размещения кавычек внутри данных запроса SQL. Другой вариант заключается в удалении всех кавычек, правда, при этом поток данных будет модифицирован. Обработанные данные заключаются в одинарные кавычки и возвращаются приложению, вызвавшему процедуру. В приложении функция quotedata должна быть использована следующим образом:

# … incoming user data is placed in $data

$quoted_data = quotedata($data);

$sql_query = “SELECT * FROM table WHERE column = $quoted_data”;

# … execute your SQL query