Erlang 和 SQL 注入攻击 [重复]

Question

我每天都使用 erlang 应用程序中间件处理 Oracle 和 MySQL 数据库。在这些中间件应用程序中，我正在运行 Nitrogen Web Framework 和 Yaws Web Server 以及几个 erlang 应用程序，例如 RabbitMQ。尽管这些应用程序容易受到SQL injection 的攻击，但它们在受信任的 Intranet 中运行。

诸如此处记录的攻击：http://sqlzoo.net/hack/ 非常能够使这些应用程序无用。是否有一个库（Erlang）或我可以如何防止这些攻击的技术？我知道在 PHP 等其他语言中，通过转义用户或攻击者可能插入的任何 single-quotes，确保所有参数都是 stringified。

说到字符串参数中的escaping all single-quotes，我想出了一个replace_all 函数，但它似乎不能解决我的需求，因为我想我会找到一种方法将所有single-quotes (') 替换为escaped version of themselves (\')。

替换（字符，带，字符串）-> 替换（字符，带，字符串，[]）。
替换（_，_，[]，完成）-> 列表：反向（完成）； 替换(Char,With,[Char|Rest],Buffer)-> 替换（字符，带，休息，[带|缓冲区]）； 替换(Char,With,[Any|Rest],Buffer)-> 替换（字符，With，Rest，[Any|Buffer]）。 在几个例子上测试它：

3> sql_protect:replace($m,$k,"muzaaya")。
“库扎亚”
4> sql_protect:replace($a,$u,"muzaaya")。
“沐足”
5>

但是我如何使用这个函数来转义所有的单引号。要说String = "' OR 1=1'"，改为：String = "\' OR 1=1\'"。

非常感谢您的帮助。

编辑

---

您对此有何看法：如果我在一个列表中有一个包含所有ORACLE SQL KEYWORDS 和SQL SERVER KEYWORDS 和MYSQL KEYWORDS 的列表，并且对于每个查询参数，我将其拆分为单词（即如果它包含空格），然后我检查以确保没有这些包含的字是保留字，我会防止许多 sql 注入攻击。

似乎有更好的方法。

Answer 1

您不仅需要转义'，还需要转义\、\0 等特殊符号。所以引用函数看起来像（从我们的 mysql 驱动程序中获取）：

quote(String) when is_list(String) ->
    [39 | lists:reverse([39 | quote(String, [])])]; %% 39 is $'
quote(Bin) when is_binary(Bin) ->
    list_to_binary(quote(binary_to_list(Bin))).

quote([], Acc) ->
    Acc;
quote([0 | Rest], Acc) ->
    quote(Rest, [$0, $\\ | Acc]);
quote([10 | Rest], Acc) ->
    quote(Rest, [$n, $\\ | Acc]);
quote([13 | Rest], Acc) ->
    quote(Rest, [$r, $\\ | Acc]);
quote([$\\ | Rest], Acc) ->
    quote(Rest, [$\\ , $\\ | Acc]);
quote([39 | Rest], Acc) ->        %% 39 is $'
    quote(Rest, [39, $\\ | Acc]); %% 39 is $'
quote([34 | Rest], Acc) ->        %% 34 is $"
    quote(Rest, [34, $\\ | Acc]); %% 34 is $"
quote([26 | Rest], Acc) ->
    quote(Rest, [$Z, $\\ | Acc]);
quote([C | Rest], Acc) ->
    quote(Rest, [C | Acc]).

Answer 2

我不了解 erlang 库，但我假设您可以创建 prepared statements，它在执行时会自动“清理”您的字符串。这甚至是 php 领域的首选方法，带有 PDO 和 mysqli。不推荐使用 escape_strings 和 mysql 驱动程序。