cakephp 转义函数或 mysql_real_escape_string 不安全？

Question

今天我们的服务器出现了奇怪的问题。 我们已经从 % 和 _ 登录 mysql 查询中获得了 DDOS，它们已成功通过 GET 请求。例如

domain.com/search/%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25v%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25%25a

好像 cakephp 没有过滤它们？在official mysql guide 他们写了很多关于这个问题的文章。这就是他们演示解决这个问题的方式：

addcslashes(mysql_real_escape_string(“%something_”), “%_”); 

在 cakephp 框架中有函数 escape() 在模型中随处使用。看看里面有什么：

/** 
 * Returns a quoted and escaped string of $data for use in an SQL statement.
 *
 * @param string $data String to be prepared for use in an SQL statement
 * @param string $column The column into which this data will be inserted
 * @param boolean $safe Whether or not numeric data should be handled automagically if no column data is provided
 * @return string Quoted and escaped data
 */ 
    function value($data, $column = null, $safe = false) {
        $parent = parent::value($data, $column, $safe);

        if ($parent != null) {
            return $parent;
        }   
        if ($data === null || (is_array($data) && empty($data))) {
            return 'NULL';
        }   
        if ($data === '' && $column !== 'integer' && $column !== 'float' && $column !== 'boolean') {
            return "''";
        }   
        if (empty($column)) {
            $column = $this->introspectType($data);
        }   

        switch ($column) {
            case 'boolean':
                return $this->boolean((bool)$data);
            break;
            case 'integer' :
            case 'float' :
            case null :
                if ($data === '') {
                    return 'NULL';
                }   
                if (is_float($data)) {                                                                                                               
                    return str_replace(',', '.', strval($data));
                }
                if ((is_int($data) || is_float($data) || $data === '0') || (
                    is_numeric($data) && strpos($data, ',') === false &&
                    $data[0] != '0' && strpos($data, 'e') === false)) {
                        return $data;
                    }
            default:
                $data = "'" . mysqli_real_escape_string($this->connection, $data) . "'";
            break;
        }   

        return $data;
    }  

只是对一些变量类型和类似这样的东西的基本保护.. 转义 mysql 特殊字符怎么样？大约一年前，我读到如何在 mysql 查询中借助百分号来转义引号 =) 那时是盲目注入的炒作，而且这个技巧几乎无处不在，因为每个人都使用 mysqli_real_escape_string。

我必须在这里提出一个问题：如何在 cakephp 中转义变量 - 真的安全吗？

更新： IRC 中的一些人指出，必须对 REQUEST 字符串进行转义，而不是自行查询。他们可能是对的，那么如何在不使用自定义函数的情况下转义 GET 请求字符串中的 % 和 _ 字符.. 任何清理方法都可以吗？

Answer 1

这并不意味着 Cake 容易受到 SQL 注入的影响，因为它在底层使用了准备好的语句，这确实意味着您在 CakePHP 中使用了 LIKE 搜索查询并且它允许使用通配符。

我认为这不是理想的行为，因为我在开发过程中也发现了这一点，我只是发现上面的这一行现在使用 LIKE。

$term = str_replace('%', ' ', $term); 

您无需亲自进行转义，框架会为您处理。

Answer 2

您展示的代码示例是安全的。这一行：

$data = "'" . mysqli_real_escape_string($this->connection, $data) . "'";

转义特殊字符。该方法检查变量的类型 - 如果它不是字符串，则不需要转义。

很高兴看到mysql_real_escape_string() 所谓的“漏洞”的来源。