PHP防SQL注入：三层硬核防御体系

　　去年十一月份接了个电商平台的漏洞修复，老板说“用户信息泄露，数据库被拖了”，我原以为是日志没关，结果一查SQL日志——好家伙，全是明文拼接的查询语句。当时就想起老张头说的那套“三层硬核防御”，第一层是PDO预处理，第二层是存储过程，第三层是Web应用防火墙。这体系听着唬人，但真拆开看，其实跟修变速箱似的——有些地方硬得像齿轮，有些地方软得像油封。

　　先说第一层PDO预处理。这招我敢打包票，只要参数绑定用对了，90%的SQL注入直接卡死。但去年那项目里，开发为了“兼容旧代码”，在PDO里混用了字符串拼接——就像修发动机时非要把不同标号的机油混着加，结果查询语句里还是漏了单引号。那天我蹲在机房改代码，旁边小李抖腿抖得铁架桌直晃，手机在铁台上震了三次，每次抬头都看见屏幕上多一行“Warning: PDOStatement::execute(): SQLSTATE[HY093]”。最后没办法，直接全局替换所有`$pdo->query()`为`$pdo->prepare()`，改完测试时手套上那块硬掉的胶都蹭到键盘上了。

文章配图，仅供参考

　　第三层WAF，这个我说不准，要看运气。他们用的是开源的ModSecurity，规则集是三年前的版本。我原以为WAF能拦住所有恶意请求，结果测试时发现，攻击者把`' OR 1=1--`改成了`'%27%20OR%201%3D1--`，WAF居然放行了——就像油封漏了，你以为是密封圈老化，结果是安装时没压紧。后来我翻日志，发现WAF的规则集里根本没覆盖URL编码的注入，最后只能自己写正则补规则。那天改完规则天都黑了，车间那台风扇还在响，我蹲在铁架前抽根烟，突然想起老张头说的：“WAF是最后一道闸，但闸门生锈了，还不如拆了重铸。”

　　其实这三层里，最站得住的是“优胜劣汰”——PDO预处理和存储过程能活到现在，是因为它们确实解决了核心问题。但WAF这玩意儿，就像车间里那台老式钻床，功能全但精度差，修了三年还是漏油。我见过最离谱的案例，是某银行用WAF拦注入，结果攻击者把payload藏在HTTP头里，WAF连日志都没记。那天我帮他们改代码，改到一半谁把扳手掉地上了一声闷响，我抬头一看，监控屏幕上全是404——原来WAF把正常请求也拦了。

　　现在回头看，那项目的防御体系其实像套老式锁具：第一层是锁芯，第二层是锁舌，第三层是门闩。锁芯和锁舌只要质量够硬，小偷撬不开；但门闩要是锈死了，你连自己都进不去。我修完那项目后自己都没底，因为测试时只覆盖了常见的注入方式，谁知道攻击者会不会用更偏门的手段？就像老张头说的：“防御体系不是越厚越好，是越准越好。”现在我再接项目，第一件事就是查日志——看有没有字符串拼接，看存储过程有没有动态SQL，看WAF规则是不是最新的。至于三层防御能不能扛住所有攻击？这个我说不准，要看运气，但至少比裸奔强。

　　对了，上周老张头找我喝酒，说他在搞“四层防御”——在WAF前面加了层流量清洗。我听了直摇头，这就像给老钻床加数控模块，能跑是能跑，但精度还是不如新机器。不过他倒是不在乎，说“防御体系就像修车，没有最好的，只有最合适的”。我喝口酒，想起车间里那台风扇还在响，手套上的胶早硬成块了，但代码里的漏洞，可能永远修不完。

（编辑：应用网_常德站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!