Vyskúšajte Samsung

Zablokovaný užívateľ

Dnes som natrafil na jednu zaujímavú funkciu, ktorá by mohla toho vyriešiť dosť za nás:
http://php.net/manual/en/function.filter-var.php

Zablokovaný užívateľ

miso250593 napísal:

napríklad, ja $_GET proste ošetrujem nejak takto

kód:

preg_replace("([^a-zA-Z0-9])", "", $_GET[nieco]);

Myslim ze to je nie postacujuce...

Užívateľ

a čo bys tam ešte dal?

Skúsený užívateľ

hm, preco riesite sqlinjection na urovni filrtovania vstupu do php ? keby ste pouzivali prepare http://www.php.net/manual/en/mysqli-stmt.prepare.php tak by " or 1=1" ostalo stale hodnotou a nie sucastou commandu.

Moderátor

asi preto, lebo nie kazdy ma moznost pouzivat mysqli a hodnoty z $_GET sa nepouzivaju len na pracu s db

Skúsený užívateľ

no dobre ale selectovanie typu "select 'a' from table" hadam existuje v MySql

Moderátor

existuje, ale narazal som na prepared statement (vstavanu funkciu)
mozno niekomu pomoze: SQL Injection Cheat Sheet

Skúsený užívateľ

smutne ze prepared statement nieje standardne k dispozicii. priznam sa ze o MySql a PHP viem minimum az takmer nic ale mohlo by zafunngovat nieco taketo :

kód:

create table dual (dummy varchar(1));
insert into dual(dummy) values ('X');
select a.pass
from TABLEXX as a,
(select $_GET[nieco] as COL1 from DUAL) as B
where a.login = b.col1;

Moderátor

v mysql je ps dostupne, ale v php nie je na to podpora, a tak je jednoduchsie osetrit vstup priamo v php, ako to zlozitejsie riesit v sql...

Skúsený užívateľ

tak to je riadna dekadencia pisat este v php 4

Moderátor

nj, ale cudoval by si sa, na kolkych firemnych serveroch je este nainstalovana stara verzia php...

Skúsený užívateľ

poznam jeden velmi velky portal, ktory nemoze prejst na 5 kvoli spatnej nekompatibilite jedneho modulu. Ale ak sa nemylim, php4 uz nema ani security updates

Mimochodom, niektore frameworky vedia simulovat prepared statements. Nakoniec aj tak iba escapuju, ale nemusite to robit rucne. Mne sa lepsie pise

kód:

$objekt->funkcia("select ... where x=?", $_GET["meno"])

ako

kód:

"select ... from ... ".mysql_real_escape_string($_GET["meno"])."..."

samozrejme ak ide o cislo, pouzivam intval alebo nieco pribuzne

Užívateľ

vytvoril som si testovaci skript, kde je iba MySQL dopyt

kód:

$blabla = mysql_query("SELECT stlpec FROM tabulka WHERE id='$_GET[id]'")

nie je to teda nijak chranene a prepisanim linku v adress bare browsera je mozny sql injection. je tak?
potom by teda sql injection mohol vyzerat v adress bare takto

kód:

http://www.stranka.sk?id=1';DROP TABLE tabulka

tu je ale moj "problem" alebo skor otazka, ze preco mi to tak nejde? mysql dopyt sa vykona s tou jednotkou, ale dalej ten dopyt proste nepokracuje a ziadny DROP sa nevykona. takisto, ked do skriptu napisem rovno ten dopyt takto

kód:

mysql_query("SELECT stlpec FROM tabulka WHERE id='1';DROP TABLE tabulka")

vykona sa iba jeho prva cast, teda SELECT.

ako je to mozne? som teda voci sql injection imunny a ziadne operacie uz s tym $_GET[id] robit nemusim?

Užívateľ

misko16 napísal:

kód:

http://www.stranka.sk?id=1';DROP TABLE tabulka

myslim ze chyba je v tom, ze dotaz DROP TABLE nemas ukonceny bodkociarkou, a taktiez by asi trebalo "odstranit" ukoncovaci apostrof, medzi ktore vkladas premennu '$_GET[id]'

skus na koniec dopisat bodkociarku a dve pomlcky, cize

kód:

http://www.stranka.sk?id=1';DROP TABLE tabulka; --

EDIT: neviem ako ti to zobere prehliadac, kedze to je link s medzerou, ale ak by si to dal do vstupneho textoveho pola formulara, malo by to ist

Moderátor

http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/#StackingQueries

Vyskúšajte Samsung

Klávesy a piána CASIO, YAMAHA

Lacný webhosting Kongo.sk

Schudla som 15kg za 4 týždne

ITkids

Ochrana PHP skriptov a vy