Addslashes

camo · Napísal **camo**: 17.07.2010 22:37

Som si kedysi myslel, že metóda Post a fcia addslashes je už celkom dobrá úroveň PHP.
Pomaly sa ale moje ilúzie rozplývajú a otvárajú sa predo mnou nové problémy.
Ako som napr. pred nedávnom zistil, tak fcia addslashes neošetruje špeciálne znaky v Mysql dostatočne.
Zozbieral som aj nejaký zoznam znakov, ktoré by mali byť ošetrené:
% (klauzula like)
_ (neviem kedy)
' (reťazce)
" (reťazce)
\ (escape)
\n (nechápem)
\r (nechápem)
control-z (nechápem)
V tej súvislosti som bol oboznámený s fciou mysqli_real_escape_string(), ktorá zase ale neescapuje napr _ a %. Mám v tom dosť chaos a potreboval, by som keby mal niekto chuť sa ku tomu, čo som označil ako to čo nechápem, vyjadriť. Okrem toho akosi nechápem, prečo nemá fcia mysqli_real_escape_string() nejakú inverznú fciu.
A ak to správne chápem, tak to percento% sa týka len klauzule like a ničoho iného. :-)

Vďaka za každú radu(k veci), lebo mi už z toho ide hlava kolem....

Blackshadow · Napísal **Blackshadow**: 18.07.2010 1:28

Citácia:

Returns a string with backslashes before characters that need to be quoted in database queries etc. These characters are single quote ('), double quote ("), backslash (\) and NUL (the NULL byte).

http://sk2.php.net/manual/en/function.addslashes.php

podtrznik _ - podla mna nie je potrebne osetrovat..
\n - pouzivam ako zariadkovanie textarei..
\r - podobne

control-z - neviem co je...

navrhujem nieco taketo, ako zaklad:

Kód:

$value = htmlspecialchars($value);
   $value = str_replace("%","%",$value);
   $value = str_replace("'","'",$value);
   $value = str_replace("\"","&quot;",$value);

Ďuri · Napísal **Ďuri**: 18.07.2010 11:06

Pod Control-Z sa zrejme mysli znak 0x1A "substitute character", ale tiez si neviem vysvetlit, naco to tam je. Kde si vyhrabal ten zoznam?
Camo, ked uz pouzivas mysqli, mozes pouzit tzv. prepared statements, aj tu na pcfore o tom nieco bolo.

Flety · Napísal **Flety**: 18.07.2010 12:13

Blackshadow, načo by nahradzoval % za % a ' za ' ?

tomxi · Napísal **tomxi**: 18.07.2010 12:32

kniha Zranitelny kod odporuca toto (myslim ze je to postacujuce):

Kód:

function SQLString($s){
      $s = str_replace("'","''",$s);
      $s = str_replace("\\","\\\\",$s);
      return "'" . $s . "'";
}

a samostatne funkcie na integer,float..

A co sa tyka toho nuloveho bajtu, ten je potrebne osetrovat hlavne pri uploade suborov; ak teda nechcete aby vam na server miesto obrazku niekto nahral trebars .php subor

Blackshadow · Napísal **Blackshadow**: 18.07.2010 17:51

Flety píše:

Blackshadow, načo by nahradzoval % za % a ' za ' ?

jaj shit, toto forum to hned nahradi

tam ma byt:

Kód:

& # 3 7 ;

a podobne

shaggy · Napísal **shaggy**: 18.07.2010 17:58

Camo, niečo o addshlashes a o ošetrení vstupných dát si môžeš prečítať aj tu:
http://phpfashion.com/escapovani-definitivni-prirucka

Blackshadow · Napísal **Blackshadow**: 18.07.2010 18:38

http://shiflett.org/blog/2006/jan/addsl ... ape-string
zaujimave

camo · Napísal autor témy **camo**: 19.07.2010 11:45

No tak ja som ten zoznam pozliepal z toho čo som čítal okolo addslashes a mysql_real_escape_string.
Ale je tu som to našiel kompletne: http://dev.mysql.com/doc/refman/5.0/en/ ... yntax.html
Len z toho mi stále neni jasné, čo v Mysql stringu urobia \n a \r.
A to control+z tiež nie.
Ešte som nečítal tie linky , lebo som sa k tomu dostal až dnes, ale ten Shaggyho vyzerá dobre čo som pozeral.

Mi ešte vŕta v hlave taká vec, že či sa dajú zapísať "a´ aj iným spôsobom (ako nejaký kód) aby to obišlo escapovanie a mysql aby to preložila zase ako " a ´ a robilo by to zase bordel. Ale asi by sa tom niekde niekto už zmienil a teda si myslím/dúfam, že nie.

Ešte ma napadlo, v tejto súvislosti, čo som čítal v Zraniteľnom kóde, ohľadom shellov, že aj tam môže byť problém, lebo pri niektorých príkazoch ich vykonanie predáva PHP týmto jazykom. Len neviem či sem patria aj fcie spojené s DB.
Edit:A myslím, ak to chápem dobre, že ten link od Blackshadow sa týka práve toho...