PHP 5.x + MySQL SQL注入实战：3种经典绕过手法与防御代码对比
PHP 5.x + MySQL SQL注入攻防全解析：从经典绕过到安全编码实践
1. 引言：SQL注入的本质与危害
在Web开发领域，SQL注入始终位列OWASP十大安全威胁的前三位。这种攻击方式利用应用程序对用户输入处理不当的漏洞，使得攻击者能够操纵后端数据库查询。当使用PHP 5.x系列的mysql_*函数连接MySQL数据库时，如果开发者未采取恰当的防护措施，系统就可能成为SQL注入的牺牲品。
SQL注入的危害远不止数据泄露这么简单。成功的注入攻击可能导致：
- 数据完整性破坏：攻击者可以修改或删除关键业务数据
- 权限提升：通过注入获取管理员权限，完全控制系统
- 服务器沦陷：在特定条件下甚至能执行系统命令
- 业务连续性中断：通过批量删除操作导致服务不可用
对于仍在使用PHP 5.x和mysql_*函数的老系统（尽管PHP 5.6已于2018年底停止官方支持），理解这些漏洞的原理和防御方法对保障系统安全至关重要。
2. 三种经典注入手法深度剖析
2.1 布尔逻辑绕过：or '1=1'攻击链
这是最基础的注入方式之一，攻击者通过构造永真条件绕过身份验证。考虑以下登录验证代码：
$username = $_POST['username']; $password = $_POST['password']; $sql = "SELECT * FROM users WHERE username='$username' AND password='$password'";当攻击者输入admin' or '1'='1作为用户名时，SQL语句变为：
SELECT * FROM users WHERE username='admin' or '1'='1' AND password='任意值'由于'1'='1'恒为真，且AND优先级高于OR，实际执行逻辑相当于：
SELECT * FROM users WHERE (username='admin') OR (true AND password='任意值')这将返回users表中第一条记录，通常就是管理员账户。更危险的是输入' or '1'='1' --可完全绕过密码检查。
防御对比：
// 不安全：仅使用mysql_real_escape_string $username = mysql_real_escape_string($_POST['username']); $password = mysql_real_escape_string($_POST['password']); $sql = "SELECT * FROM users WHERE username='$username' AND password='$password'"; // 安全：预处理语句 $stmt = $pdo->prepare("SELECT * FROM users WHERE username=? AND password=?"); $stmt->execute([$_POST['username'], $_POST['password']]);2.2 注释符截断：#与--的利用
MySQL支持两种注释语法：
#：行尾注释--（注意末尾空格）：行中注释
攻击者可以利用注释截断后续查询条件。例如：
$id = $_GET['id']; $sql = "SELECT * FROM products WHERE id='$id' AND status=1";传入1' #后，查询变为：
SELECT * FROM products WHERE id='1' #' AND status=1'实际执行时只检查id条件，忽略了status限制。URL编码时#需替换为%23。
特殊场景：当无法直接使用#时，攻击者可能采用：
1' --1' /* 注释内容 */
防御方案对比表：
| 防御方式 | 原理 | 防注释截断 | 防二次注入 |
|---|---|---|---|
| 转义函数 | 转义特殊字符 | 部分有效 | 无效 |
| 预处理语句 | 参数绑定 | 完全有效 | 完全有效 |
| 白名单验证 | 限制输入格式 | 完全有效 | 完全有效 |
2.3 多语句执行：;分隔攻击
当使用mysql_multi_query()时，攻击者可通过分号注入额外SQL命令：
$id = $_GET['id']; $sql = "SELECT * FROM products WHERE id=$id"; mysql_multi_query($sql); // 危险！传入1; DROP TABLE users --将执行两条语句：
SELECT * FROM products WHERE id=1; DROP TABLE users --关键防御点：
- 永远不要使用
mysql_multi_query()处理用户输入 - 使用
PDO::ATTR_EMULATE_PREPARES禁用模拟预处理 - 设置数据库用户最小权限
3. 防御体系构建：从基础到进阶
3.1 输入验证与过滤
深度防御策略应包含多个层次：
// 类型检查 $id = (int)$_GET['id']; // 强制类型转换 // 正则验证 if (!preg_match('/^[a-z0-9_]{3,16}$/i', $username)) { die('无效用户名'); } // 白名单验证 $allowed_status = [0, 1, 2]; if (!in_array($status, $allowed_status)) { die('非法状态值'); }3.2 参数化查询实践
PDO预处理示例：
$pdo = new PDO('mysql:host=localhost;dbname=test;charset=utf8', 'user', 'pass', [ PDO::ATTR_EMULATE_PREPARES => false, // 禁用模拟预处理 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION ]); // 命名参数方式 $stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (:name, :email)"); $stmt->execute([ ':name' => $_POST['name'], ':email' => $_POST['email'] ]); // 问号占位符方式 $stmt = $pdo->prepare("SELECT * FROM products WHERE category=? AND price>?"); $stmt->execute([$category, $min_price]);MySQLi预处理示例：
$mysqli = new mysqli("localhost", "user", "pass", "test"); $stmt = $mysqli->prepare("UPDATE orders SET status=? WHERE id=?"); $stmt->bind_param("si", $status, $id); // s=string, i=integer $stmt->execute();3.3 安全配置清单
数据库层面：
- 为每个应用创建独立数据库账号
- 遵循最小权限原则（仅授予必要权限）
- 禁用
LOAD_FILE、INTO OUTFILE等危险函数 - 定期备份重要数据
PHP配置：
; php.ini 关键设置 magic_quotes_gpc = Off ; 不依赖已废弃的特性 display_errors = Off ; 生产环境关闭错误显示 log_errors = On ; 开启错误日志记录4. 现代PHP开发的安全升级路径
4.1 从mysql_*函数迁移指南
迁移步骤：
- 兼容层过渡（临时方案）：
// 兼容性封装函数 function safe_query($sql, $params = []) { $conn = new mysqli(DB_HOST, DB_USER, DB_PASS, DB_NAME); $stmt = $conn->prepare($sql); if (!empty($params)) { $types = str_repeat('s', count($params)); // 默认全为string类型 $stmt->bind_param($types, ...$params); } $stmt->execute(); return $stmt->get_result(); }- 完整重构示例：
- $link = mysql_connect('localhost', 'user', 'pass'); - mysql_select_db('test', $link); - $result = mysql_query("SELECT * FROM users WHERE id=".$_GET['id'], $link); + $pdo = new PDO('mysql:host=localhost;dbname=test', 'user', 'pass'); + $stmt = $pdo->prepare("SELECT * FROM users WHERE id=?"); + $stmt->execute([$_GET['id']]); + $result = $stmt->fetchAll();4.2 ORM框架安全实践
Laravel Eloquent示例：
// 基础查询 $users = User::where('active', 1) ->orderBy('name') ->take(10) ->get(); // 防止批量赋值漏洞 class User extends Model { protected $fillable = ['name', 'email']; // 允许赋值的字段 // 或 protected $guarded = ['is_admin']; // 禁止赋值的字段 }安全注意事项：
- 避免直接使用
->update($request->all()) - 谨慎处理
DB::raw()中的动态内容 - 使用
->toSql()调试生成的SQL语句
5. 实战演练：安全代码对比分析
5.1 登录功能安全实现对比
不安全实现：
// login_unsafe.php $user = mysql_query("SELECT * FROM users WHERE username='".$_POST['username']."' AND password='".md5($_POST['password'])."'"); if (mysql_num_rows($user) > 0) { // 登录成功 }安全实现：
// login_safe.php $pdo = new PDO(/* 连接参数 */); $stmt = $pdo->prepare("SELECT id, username FROM users WHERE username=? AND password=? LIMIT 1"); $stmt->execute([ $_POST['username'], hash('sha256', $_POST['password'] . SALT) ]); if ($stmt->rowCount() > 0) { $user = $stmt->fetch(); // 登录成功并记录会话 $_SESSION['user'] = [ 'id' => $user['id'], 'name' => htmlspecialchars($user['username']), 'ip' => $_SERVER['REMOTE_ADDR'] ]; }5.2 搜索功能安全实现对比
不安全实现：
// search_unsafe.php $keyword = $_GET['q']; $results = mysql_query("SELECT * FROM products WHERE name LIKE '%$keyword%' ORDER BY ".$_GET['sort']);安全实现：
// search_safe.php $allowed_sorts = ['price', 'name', 'date']; $sort = in_array($_GET['sort'], $allowed_sorts) ? $_GET['sort'] : 'id'; $pdo = new PDO(/* 连接参数 */); $stmt = $pdo->prepare("SELECT * FROM products WHERE name LIKE ? ORDER BY $sort"); $stmt->execute(['%' . str_replace('%', '\%', $_GET['q']) . '%']);6. 渗透测试与漏洞排查
6.1 自检清单
代码审计要点：
- 查找所有直接拼接用户输入的SQL语句
- 检查是否使用了
mysql_*系列函数 - 验证预处理语句是否正确使用
- 确认错误信息不会泄露敏感数据
自动化工具：
- SQLMap：自动化注入测试工具
sqlmap -u "http://example.com/product?id=1" --risk=3 --level=5 - PHPStan：静态代码分析工具
phpstan analyse src/ --level=max
6.2 日志分析与监控
关键日志配置：
// 记录所有数据库错误 set_exception_handler(function($e) { error_log("Database Error: ".$e->getMessage()); // 返回通用错误页面 header("HTTP/1.1 500 Internal Server Error"); exit("系统繁忙，请稍后再试"); }); // 监控可疑请求 if (preg_match('/(union|select|insert|update|delete|drop|--|#|\/\*)/i', $_SERVER['QUERY_STRING'])) { syslog(LOG_WARNING, "Possible SQLi attempt from ".$_SERVER['REMOTE_ADDR']); }7. 总结与最佳实践
在PHP 5.x环境下构建安全的MySQL应用需要多层防御：
- *立即停止使用mysql_函数，迁移到PDO或MySQLi
- 所有用户输入视为不可信，进行严格验证
- 使用参数化查询处理所有动态SQL部分
- 实施最小权限原则，限制数据库账户权限
- 定期安全审计，检查潜在漏洞
- 保持组件更新，即使遗留系统也应打安全补丁
终极建议：对于新项目，应直接采用PHP 7.4+和现代框架（如Laravel、Symfony），它们内置了更完善的安全机制。对于必须维护的PHP 5.x老系统，建议通过反向代理添加WAF（Web应用防火墙）作为额外保护层。