Skip to main content
1 de 5

Instrucciones preparadas con PDO no impiden SQL Inyection

Tengo una aplicación en PHP 5.3.29 y MySQL 5.6.35 la cual usaba SQLQUERY para ejecutar las instrucciones SQL, las cambié utilizando PDO e instrucciones preparadas y el problema es que analizo la aplicación utilizando ZAP 2.6.0 y pude comprobar que igual se pueden alterar los parámetros de entrada. Lo que hice fue habilitar el log general de MySQL y revisar todas las consultas que se ejecutan en la base de datos, así pude revisar que llegaba a la base de datos. El código es: function cerrar_sesion($usuario) { $pdo = new PDO("mysql:"."host=".DB_SERVIDOR.";"."dbname=".DB_BASEDATOS,DB_USUARIO, DB_CLAVE);

$query = $pdo->prepare('UPDATE ADMIN_USUARIO SET USERID=' ' WHERE C_USUARIO= :usuario'); $query->bindParam(':usuario',$usuario,PDO::PARAM_INT); $query->execute(); $pdo = null; .......

Al revisar el log de MySQL llega el parametro usuario alterado (Ejemplo: 54/2) lo cual lo detecta el ZAP. 227726 Query UPDATE ADMIN_USUARIO SET USERID=' ' WHERE C_USUARIO= '54/2' 227730 Query UPDATE ADMIN_USUARIO SET USERID=' ' WHERE C_USUARIO= '108/2' 227732 Query UPDATE ADMIN_USUARIO SET USERID=' ' WHERE C_USUARIO= '108/2'

Todo esto a pesar de usar PDO y prepare y aún así llega la inyección.

Estoy frustrado porque se supone PDO iba a ser la solución.

Agradeceré su ayuda.