Ayuda con Blind SQL Injection

[chidomen]

Hola a todos,

Tengo varios días tratando de resolver un problema pero no he encontrado la manera de como hacerlo, es acerca del 'blind sql injection', estoy usando PHP 5 y Postgresql.

Tengo un servicio el cual revisa el sitio para cuidar la seguridad, recibí este mensaje:
Possible blind sql injection on https://www.mysitio.com/html/searchResults.php?q=+and+1%3D1">
This website may have other injection related vulnerabilities.

Esto es sólo en la pagina para buscar productos, investigue un poco, modifique el texto que se usa para buscar producto, usando esto:
$param = pg_escape_string($param);
$param = pg_escape_bytea($param);

Pero sigo con el mismo problema,

Que puedo hacer?

Espero que me puedan ayudar,
De antemano muchas gracias

[TKZeXe]

Blind injection es una tecnica para injectar sql code sin saber los errores que te arroja , pueden
sacar una contraseña por ejemplo a fuerza bruta, con tamperdata por ejemplo poniendo como password:

tkz' or 'a'='a

inclusive ataques de diccionario, te recomiendo escapar las cadenas ingresadas con addslashes y cualquier metodo para encontrar SQL code en las urls, te lo puedes hacer tu con REGXP si lo deseas, para que no te encuentres con UNION , DROP, SHUTDOWN,DELETE , UPDATE, etc
en las urls, tambien hazte un log de todo lo que ingresa el usuario por los campos, ais te daras una idea de por donde te intentan atacar.

esto por mientras.

ejemplo de uno de logs:

Código txt:

==================================
IP: 200.83.123.16
Method: POST
Value:  \'x\'; update character set strength=32767,dexterity=32767,energy=32767,vitality=32767,leadership=32767 where name = \'koyote\'
Script: 
Time: Sunday 28th 2009f June 2009 10:23:30 PM
==================================
IP: 200.83.123.16
Method: POST
Value:  \'x\'; INSERT INTO MuWeb_admin(username,password,securitycode)VALUES(\'MUAdmin\',\'123123\',\'0123\')
Script: 
Time: Sunday 28th 2009f June 2009 10:24:17 PM
==================================
 

bites

[chidomen]

Hola TKZeXe,

Gracias por responder, entiendo lo que me comentas sobre los addslashes,
$param = pg_escape_string($param);
$param = pg_escape_bytea($param);
$param = addslashes($param);

Lo que no entendí y me te pediría que me ayudaras es con REGXP, a que te refieres con ello,

Espero que me puedas ayudar

Saludos

[LuZBinG]

como dice tkzexe es una injeccion sql que ataca las bd

prueba esto:
$param = mysql_real_escape_string($param);

ejemplo:

Código PHP:

   
$param = mysql_real_escape_string($param);
$SQL = "SELECT * FROM username WHERE username = '".$param."'";
echo 'nombre: '.stripslashes($nombre); 
   

prueba...

[abimaelrc]

@LuZBinG el problema es que esta usando Postgresql no MySQL.

[chidomen]

Hola LuzBinG,

Gracias por la información, en mi caso estoy usando como bd postgresql, afectara si uso 'mysql_real_escape_string'?

Saludos

[abimaelrc]

Esa funcion es para mysql

[TKZeXe]

Con gusto te paso una función que tengo en una de mis webs.
que por lo demas son muy atacadas jajaj (de juegos),
usalas y pasalas al que te las pida, todo sea por ayudar en algo. ^^

Código PHP:

function check_inject() 
  { 
    $badchars = array(";","'","*","/"," \ ","DROP", "SELECT", "UPDATE", "DELETE", "drop", "select", "update", "delete", "WHERE", "where", "-1", "-2", "-3","-4", "-5", "-6", "-7", "-8", "-9",); 
   
    foreach($_POST as $value) 
    { 
    $value = clean_variable($value);
 
    if(in_array($value, $badchars)) 
      { 
        die("SQL Injection Detected - Make sure only to use letters and numbers!\n<br />\nIP: ".$_SERVER['REMOTE_ADDR']); 
      } 
      else 
      { 
        $check = preg_split("//", $value, -1, PREG_SPLIT_OFFSET_CAPTURE); 
        foreach($check as $char) 
        { 
          if(in_array($char, $badchars)) 
          { 
            die("SQL Injection Detected - Make sure only to use letters and numbers!\n<br />\nIP: ".$_SERVER['REMOTE_ADDR']); 
          } 
        } 
      } 
    } 
  } 
function clean_variable($var) 
    { 
    $newvar = preg_replace('/[^a-zA-Z0-9\_\-]/', '', $var); 
    return $newvar; 
    }
 

[LuZBinG]

upss perdon


gracias TKZeXe y muy buena funcion

[chidomen]

Muchas gracias por el código, voy a implementarlo y te contare los resultados

Saludos