我被分配到我公司的一个遗留Web应用程序,经过一两天的探索,我发现了一个类似于以下内容的SQL注入向量：

mysql_query("SELECT * FROM foo WHERE bar='" . $_GET['baz'] . "'");

我试图对此执行SQL注入测试,但由于PHP的magic_quotes_gpc模块已打开,它失败了.

我知道magic_quotes_gpc很脏,但是我们有数百个 – 如果不是数千个 – 与上面的代码类似的代码行.我们根本无法承担关闭magic_quotes_gpc的费用,因为这会让像这样的代码大开.

我想知道上面的代码是如何“可利用”的,以及我们是否应该立即修复它,或者包括修复它与我们的其他重构任务的任务.

解决方法:

从magic_quotes_gpc转移网站的常用方法是添加包装函数：

function m($s) {
    if (get_magic_quotes_gpc())
        $s= stripslashes($s);
    return mysql_real_escape_string($s);
}

mysql_query("SELECT * FROM foo WHERE bar='".m($_GET['baz'])."'");

这将解决addlashes无法识别字符集的问题,这可能导致它在某些情况下容易受到攻击,并且通常会使代码继续像以前一样“工作”.

但是从长远来看,依赖于输入转义是不可持续的,因为它会将斜杠乘以您没有插入数据库的输入字符串,并且无法转义您从其他来源插入数据库的字符串.这是magic_quotes_gpc错误的真正原因：它将输出阶段编码应用于输入阶段.

因此,添加包装器函数,然后慢慢更新所有SQL插值以使用它.当你得到它们时,你可以关掉魔法引号.