ochrana pred sql injection

ako mam ochrániť moju stránku pred sql injectami

teda mam adresu napr nieco.sk/clanok.php?id=2

ale keď tam dám nieco.sk/clanok.php?id=2 or 1=1 tak sa mi zobrazia všetky články

tak ako to teda opraviť?

Napr. ak máš iba ID článku (clanok.php?id=1), tak to môžeš ošetriť napr. takto:


Prípadne to ešte môžeš prehnať funkciou od stenleyho (safety() - nájdeš to v Často používaných skriptoch)

satety nejak nefunguje na napr or 1=1

musis si ju doplnit o dalsie "ochrany" lebo verzia, ktora je zverejnena, osetruje len zakladne veci... odstranis napr "rovna sa"... dalej, ked vies, ze selectujes len jeden clanok, tak daj do sql LIMIT 1

aha to vyzerá zaujímavo

ja to zatial riešim pomocou is_numeric

myslíte že to stačí?

Dalo by sa nejako zariadiť aby sa odstránili z reťazca všetky nečíselné znaky?

ja to v podstate tiež ošetrujem is_numeric()

napr. pomocou ereg_replace a pribuznych funkcii,pripadne si celu tu hodnotu prevedies na ciselnu hodnotu...

Ako by to vyzeralo? ereg_replace veľmi neovládamNo veď to práve chcem, len neviem ako

cez ereg_replace by to vyzeralo nasledovne:

tj, z hodnoty premennej $str sa vymaze kazdy neciselny znak...

prevod na ciselnu hodnotu spravis cez intval(), pripadne cez pretypovanie...

Vďaka...

ale to is_numeric je postačujúce nie?

dá sa to nejak obísť?

neda.... is_numeric je naj, pokial vies, ze to bude len cislo.... a ked vyberas jeden clanok, nezabudni na LIMIT 1

a ako sa dá ochrániť INSERT INTO?

povedzme pri komentároch?

ja používam funkciu tu z fóra safety myslíte že to stačí?

Spôsobov, ako spáchať SQL injection je veľa, každý iný.
mysql_real_escape_string by ti mohol pomôcť, ale nie je 100%.
Najlepší je whitelisting, čiže prejdeš vstup pomocou regexp-u a povolíš zápis do DB iba v prípade, že string prejde testom. Pozri, preg_match. Určite budeš potrebovať regulárne výrazy (regexp), tie si pozri napríklad na www.regular-expressions.info .
Proti jednému z typov sql injection je vhodné nepoužívať hodnota=1, ale hodnota="1". Všade s uvodzovkami, nie bez.
Keď ste hovorili o tých číslach, pomocou ereg_replace určite nie, to je príliš pomalé. settype, prípadne intval je presne na to, ale settype je rýchlejší (robil som benchmark).

prepáč ale takto nechápem nedáš mi aj príklad prosím?

pozeram, ze v tejto teme este nikto nespomenul prepared statements, tak pozri aj tie.

Napríklad ak vieš, že prihlasovacie meno je zložené iba z malých písmen (bez diakritiky) alebo čísel, s maximálnou dĺžkou 12 znakov, tak spravíš:

Na toto si sa pýtal?

ja som to ale chcel len do komentárov, formulára pomocou ktorého mi môže komentovať články na stranke

ereg("^[a-žA-Ž\s\d\-_?!.,]*$",$testovana_premenna)

Tam máš povolené písmená, čísla, medzery, tabulátory, nové riadky a znaky -_?!.,
Ak ti nestačia tieto znaky, napíš, poradím.

a keď to tým testom neprejde tak to odošle práznu kolonku alebo tie znaky nepovolené len odstráni?

if(ereg("^[a-žA-Ž\s\d\-_?!.,]*$",$testovana_premenna)) {

} else {

}

takto.. alebo to dat do preg_replace.. to by slo nie ?

No to je na tvojom rozhodnutí, či chceš zapísať prázdnu premennú, alebo chceš nehcené znaky odstrániť, prípadne vôbec záznam nezapísať... Povedz si.
Ale poriadne si premysli, aké znaky chceš povoliť. Ešte mi napadlo, že by si asi potreboval *+/

no také čo sa môžu dostať do komentárov ale potreboval by som aj znak : kôli smailom a tiež []

a chcem aby sa to zapísalo do databázy bez tých znakov ale aby sa aj vykonal jeden príkaz

to a-ž mi akosi robí hovadiny, nefunguje to ako to má (prejde aj spätné lomítko), takže musíme ísť inak na to. Ak používaš php5, môžeš použiť mysqli namiesto štandardných mysql funkcií.
http://sk.php.net/mysqli
Pozri si hlavne
http://sk.php.net/manual/en/mysqli.prepare.php
a potom mysli aj na xss, použi ešte napríklad http://sk.php.net/manual/en/function.htmlentities.php

nefunguje to preto, lebo to je zle...

a co tak vsetky "nebezpecne" znaky prevadzat na html entity (pripadne escapovat)? v tomto pripade je uplne zbytocne pouzivat regularne vyrazy...

naco programovat vlastne riesenia, ked mozeme pouzit casoum overene riesenie?
class.inputfilter.php

v kombinacii s prepared statementom je to bezpecne riesenie.

Stenley, mi išlo o ukážku whitelistingu

Už som prišiel konečne na to, ako na diakritiku.

\pL je ten komponent, čo som furt hľadal.
Sorry, ak to je už out of date