0

Estoy con una duda con una función para prevenir SQL injection:

public function f_LIMPIARINPUT($a_variable) {
    $valor = $a_variable;
    $valor = str_ireplace("SELECT", "", $valor);
    $valor = str_ireplace("FROM", "", $valor);
    $valor = str_ireplace("TABLE", "", $valor);
    $valor = str_ireplace("COUNT(*)", "", $valor);
    $valor = str_ireplace("(", "", $valor);
    $valor = str_ireplace(")", "", $valor);
    $valor = str_ireplace("INSERT", "", $valor);
    $valor = str_ireplace("INTO", "", $valor);
    $valor = str_ireplace("VALUES", "", $valor);
    $valor = str_ireplace(",", "", $valor);
    $valor = str_ireplace("COPY", "", $valor);
    $valor = str_ireplace("DELETE", "", $valor);
    $valor = str_ireplace("DROP", "", $valor);
    $valor = str_ireplace("DUMP", "", $valor);
    $valor = str_ireplace(" OR ", "", $valor);
    $valor = str_ireplace("%", "", $valor);
    $valor = str_ireplace("LIKE", "", $valor);
    $valor = str_ireplace("--", "", $valor);
    $valor = str_ireplace("^", "", $valor);
    $valor = str_ireplace("[", "", $valor);
    $valor = str_ireplace("]", "", $valor);
    $valor = str_ireplace("\\", "", $valor);
    $valor = str_ireplace("!", "", $valor);
    $valor = str_ireplace("¡", "", $valor);
    $valor = str_ireplace("?", "", $valor);
    $valor = str_ireplace("=", "", $valor);
    $valor = str_ireplace("&", "", $valor);
    $valor = str_ireplace("'", "", $valor);
    $valor = str_ireplace("AND", "", $valor);
    $valor = str_ireplace("IS", "", $valor);
    $valor = str_ireplace("NULL", "", $valor);
    $valor = str_ireplace(";", "", $valor);
    $valor = str_ireplace("C:fakepath", "", $valor);
    return $valor;
}

¿Les parece que podría ser de esta manera?

6
  • 1
    Para prevenir este tipo de ataques, no sirve de mucho limpiar los inputs, ya que lo que protege de la inyección SQL es el uso de consultas preparadas. Puedes ver esta pregunta y sus respuestas para más detalles.
    – A. Cedano
    el 15 mar. 2018 a las 15:49
  • Gracias, lo voy a revisar, Codeigniter tiene seg'un entiendo esto resuelto, eso es cierto?. el 15 mar. 2018 a las 15:51
  • 1
    No uso Codeigniter... No obstante, el principio de las consultas preparadas es muy simple: no envíes nunca a la BD una consulta en la que vayan datos que provengan de fuentes externas para que ésta la ejecute directamente. Prepara la consulta usando marcadores y pasa los datos aparte. O sea, datos por un lado, consulta por otro. De ese modo tendrás la mejor protección que exista contra Inyección SQL. Eso, que yo sepa, nadie puede hacerlo por ti. Tienes que construir tus consultas de modo que nunca la instrucción SQL y los datos externos se pasen en una sola sentencia.
    – A. Cedano
    el 15 mar. 2018 a las 15:54
  • Esta opción no es segura y no es recomendable. Haz caso a lo que dice @A.Cedano, las consultas preparadas son una mejor opción que esto.
    – Alvaro Montoro
    el 15 mar. 2018 a las 16:02
  • Gracias ,@Alvaro Montoro, estaba leyendo algo de este post: diego.com.es/ataques-sql-injection-en-php, y como actualmente estoy trabajando con el FrameWork Codeigniter vi que tenia cubierto ponte el caso de ataques _xss_clean. el 15 mar. 2018 a las 16:07

1 respuesta 1

3

CodeIgniter escapa y sanea las variables que se le pasen a $this->db->query si se pasan mediante bindings. Pero no las escapa si lo que haces es generar una sentencia SQL dinámica concatenando cadenas (aunque dispone de algunos métodos para sanear/limpiar entradas como $this->db->escape(), $this->db->escape_str() o $this->db->escape_like_str()).

El método de los bindings es mejor, porque es como usar consultas preparadas (son consultas preparadas). Tu función parece que sería para pasársela a los input en consultas dinámicas y eso no es recomendable porque la función no es segura, y es una mala idea por varios motivos:

  1. Existen maneras de saltarse la validación rompiendo y componiendo las palabras prohibidas. A no ser que pases esta función hasta que el resultado de dos veces consecutivas sea el mismo, puedes tener problemas. Por ejemplo, al quitar las palabras no válidas una vez, se podría pasar una cadena como:

    SELSELECTECT * FRFROMOM tabla -&-
    

    que tras la función se quedaría en:

    SELECT * FROM tabla --
    

    permitiendo inyección.

  2. Considera peligrosas palabras que no lo son y que serían válidas. Por ejemplo, imagina que la variable que quieres limpiar es el nombre de una persona (un dato bastante común en un formulario) y esa persona se llama "Andy", tras pasar el valor a tu función, por esta regla:

    $valor = str_ireplace("AND", "", $valor);
    

    la persona que te contacto ahora se llama "y" a secas.

  3. No considera peligrosas palabras que sí lo son. Esto es un problema al usar listas negras: si por el motivo que sea no se añade una palabra/término peligroso, esa palabra/término se salta la validación.

    Y no todo en inyección SQL es alguien intentando leer tus datos. ¿Qué pasa si lo que se busca es obtener acceso a tu cuenta? ¿o crear una nueva cuenta? Las reglas de validación que has puesto no limpiarían estas palabras: CREATE, USER, @, IDENTIFIED BY; ni tampoco estas otras: GRANT, ALL, PRIVILEGES, ON, *.*, TO... que podrían permitir crear un usuario y darle acceso total al sistema.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.