В статье на Xakep.ru разбирается атака на PHP-приложения через SQL-инъекции и DoS, эксплуатирующая особенности C-драйверов на уровне работы с нулевыми байтами. Автор показывает, что стандартная мантра про экранирование входных данных не гарантирует защиту, если драйвер СУБД обрабатывает строки не так, как ожидает разработчик.

Основная идея в том, что нулевой байт может обрывать строку внутри C-кода драйвера, хотя на уровне PHP она выглядит полностью экранированной и безопасной. В результате злоумышленник способен обойти проверки и внедрить вредоносный SQL-код или вызвать отказ в обслуживании.

Рассматриваются конкретные сценарии эксплуатации: как именно формируется полезная нагрузка, какие функции экранирования оказываются бесполезными и почему поведение зависит от версии драйвера и типа базы данных. Отдельно затрагивается тема DoS — некоторые запросы приводят к аварийному завершению или зависанию процесса.

Контекст проблемы в том, что разработчики привыкли доверять штатным механизмам защиты и редко проверяют, как именно реализованы драйверы на низком уровне. Исторически подобные баги в C-библиотеках уже приводили к уязвимостям, но многие считают их экзотикой.

В качестве вывода автор напоминает, что надёжнее использовать подготовленные выражения с параметризацией вместо ручного экранирования. Также стоит следить за обновлениями драйверов и проверять их поведение на граничных случаях вроде нулевых байтов.