PDOにおけるSQLインジェクションの危険性とその回避についてまとめ

徳丸 浩 @ockeghem

日記書いた『ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション) 』 http://www.tokumaru.org/d/20100701.html#p01

Ikeda Masakazu @ikepyon

@ockeghemさんの日記を見てふと思い出したがMySQLのJDBC大丈夫だっけ？\の取り扱いを妙な対応してたよなぁ

HARUYAMA Seigo @haruyama

PDO::MYSQL_ATTR_DIRECT_QUERY を false RT: @ockeghem: 日記書いた『ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション) 』 http://bit.ly/aAKdEL

徳丸 浩 @ockeghem

PDO::ATTR_EMULATE_PREPARESをfalseにすると、よさそうです RT @haruyama: PDO::ATTR_EMULATE_PREPARES も falseにしておく必要があるか

HARUYAMA Seigo @haruyama

.@ockeghem 「PDOは接続時に文字エンコーディングを指定できない（指定しても無視される）」ってほんとうですか? mysql_real_connect() が my.cnfの [client]セクションを読むので, my.cnfを指定することで可能と認識していましたが.

徳丸 浩 @ockeghem

PDO、小泉守義さんのブログによると、昔は名前つきプレイスホルダ使用時にエミュレーションしてたけど、今は、PDO::ATTR_EMULATE_PREPARESをfalseにすると、名前つきプレイスホルダでも、プリペアード・ステートメントになるようですね

徳丸 浩 @ockeghem

パケットキャプチャする限りは、常にLatin1ですね。私がWindows上で試しているから、という可能性はあります。 RT @haruyama: .@ockeghem 「PDOは接続時に文字エンコーディングを指定できない（指定しても無視される）」ってほんとうですか?

徳丸 浩 @ockeghem

.@haruyama ありがとうございます。問題はそこではなくて、PDOがPrepared Statuementのエミュレーションする時のパーサが文字エンコーディングを考慮するかどうかなんですね

HARUYAMA Seigo @haruyama

.@ockeghem charset=が効かないのはFAQですね. my.cnf で指定してもだめですか?

CHIBA Masahiro @nihen

@ockeghem 試してないですけれど、http://bit.ly/awE8ZR を読む限りではDBD::mysqlと同じようにREAD_DEFAULT_FILEを指定することによってcharset指定できるんじゃないすかね

HARUYAMA Seigo @haruyama

.@ockeghem Cのmysql_real_escape_string()の第１引数に関係しています. PHPソースのmysql_handle_quoter() の中ですね

CHIBA Masahiro @nihen

@ockeghem あ、libmysqlclientの動的プレースホルダじゃなくてPDOが独自にやってるのであれば結局意味ないのかな、、試してみるかな

HARUYAMA Seigo @haruyama

.@ockeghem MySQLの中まではみてないのですが, 適当に[client]で文字セットが設定されていたり サーバが文字セットを強制していれば 適当な文字エンコーディングでのエスケープが行なわれると思うのですが

徳丸 浩 @ockeghem

.@haruyama PDOがmysql_real_escape_string()を呼んでいるかどうかが問題になると思います。少し古いですが、https://www.codeblog.org/blog/moriyoshi/20061221.html

徳丸 浩 @ockeghem

Windowsでは、PDO::MYSQL_ATTR_READ_DEFAULT_FILEが無効で、my.cnfが指定できないようです。Linux上で調べます RT @haruyama: …my.cnf で指定してもだめですか?

HARUYAMA Seigo @haruyama

.@ockeghem pdoのSQLのパースがこのままなら Shift_JISの場合は書いてあるようにおかしくなりますね.

HARUYAMA Seigo @haruyama

.@ockeghem pdo_sql_parser.re からは stmt->dbh->methods->quoter という形で mysql_handle_quoter()が呼ばれています(MySQLなら)

徳丸 浩 @ockeghem

.@haruyama 遅ればせながらPDOのソースを見たら、mysql_real_escape_string()を呼んでいるようでもあるので、もう少し調べます

Moriyoshi Koizumi @moriyoshit

@ockeghem どんな問題について話しているのか追えてないので的はずれなことをいってそうですが、mysql_real_escape_string() は、PDO の MySQL ドライバが入った当初から使われていました。

徳丸 浩 @ockeghem

@moriyoshit ほう、それでもPDOは文字エンコーディングを考慮していなかったのでしょうか?

徳丸 浩 @ockeghem

これです http://www.tokumaru.org/d/20100701.html#p01 RT @moriyoshit: @ockeghem どんな問題について話しているのか追えてない…

Moriyoshi Koizumi @moriyoshit

@ockeghem 文字エンコーディングが考慮されないのは、MySQL の実装が古いなどの理由で、プリペアードステートメントが PDO 側でエミュレーションされる場合です。

Moriyoshi Koizumi @moriyoshit

@ockeghem その場合、SQL が一旦 PDO でパースされ、プレースホルダが抽出されるのですが、このパーサが文字エンコーディングを考慮していません。

徳丸 浩 @ockeghem

.@moriyoshit なるほど。すると、パーサが通った後のエスケープでは、文字エンコーディングを考慮しているということでしょうか?

Moriyoshi Koizumi @moriyoshit

@ockeghem PHP 5.3.0 とリンクしている libmysqlclient のバージョンが古い可能性があります。 niMySQL は positional な placeholder をサポートしているので、この部分がなんちゃって、になることはありません。