数据导入文件中的SQL注入

Question

我们处理大量批处理文件，并通过LOAD DATA LOCAL INFILE调用MySQL进行初始批处理文件导入。

是否有可以扫描或帮助减轻此导入过程中的SQL注入的工具/标准？

Answer 1

支持LOAD数据语句的本地版本有两个潜在的安全问题：

1. 从客户端主机到服务器主机的文件传输由MySQL服务器发起。理论上，可以构建一个修补服务器，告诉客户端程序传输服务器选择的文件，而不是加载数据语句中客户端命名的文件。这样的服务器可以访问客户端用户可以读取访问的客户端主机上的任何文件。
2. 在客户端从Web服务器连接的Web环境中，用户可以使用本地加载数据读取Web服务器进程可以读取的任何文件(假设用户可以对SQL服务器运行任何命令)。在这种环境中，与MySQL服务器有关的客户机实际上是Web服务器，而不是连接到Web服务器的用户正在运行的远程程序。

我找到的所有源MySQL、赛门铁克和绿色SQL都建议禁用此函数。但是，如果您使用的是受控环境(仅限受信任用户的访问权限)，则可能会承担此风险。