Защита от SQL-injection

•

Защитить себя от SQL-injection

•

Защитить себя от SQL-injection можно таким простым способом:
создать файл такого содержания

<?php
$get_ar = array_values($_GET);
$c_a_g = count($get_ar);
for ($i = 0;$i < $c_a_g;$i++){
if(eregi('union(.*)select',$get_ar[$i])){ header("Location: //site.com"); exit; }
if(eregi('order(.*)by',$get_ar[$i])){ header("Location: //site.com"); exit; }
}
$post_ar = array_values($_POST);
$c_a_p = count($post_ar);
for ($i = 0;$i < $c_a_p;$i++){
if(eregi('union(.*)select',$post_ar[$i])){ header("Location: //site.com"); exit; }
if(eregi('order(.*)by',$post_ar[$i])){ header("Location: //site.com"); exit; }
}
?>

и включать его в самый верх скрипта в котором используется обращение к базе данных.
Не знаю почему до сих пор не придумали этот способ - уж очень много в интернете сайтов подверженных этой болезни.
Идея может и не нова но я дошёл до неё сам.
Вместо site.com укажите куда надо направлять хакера - это может быть страничка на вашем сайте например со статьей как нехорошо ломать сайты или посыланием его на х.. ну сообразите , если что обрасчайтеззь :)

•

HawkDoom, это где-нибудь опробовано? работает?

Выходит это только "чисто теоретические предположения"...

•

And, хы , ты попробуй сначала а потом утверждай =)
я наверно просто так написал.

там только не header("Location: //site.com") а header("Location: http://site.com") вот

•

HawkDoom, защита от SQL-injection - это, конечно, хорошо. Но Вам разве не известно, что сей форум базы данных не использует вообще, а вместо них текстовые файлы. Так что, страшная SQL-injection не принесёт вреда. Или я чего-то не понимаю?

•

Такая проверка на иньекцию обходится хакором элементарно например ununionion или UNioN

•

ЗлобныйАнонимст, да ты видимо хакер))) тогда кури маны)) функция
Код:

eregi();

является аналогом функции
Код:

ereg();

и отличается тем что игнорирует различия в регистре символов алфавита

•

Люди, чтобы не было SQL инъекции, просто фильтруйте то, что кидаете в запрос. Допустим:

Код:

$sql = mysql_escape_string( $_GET['text'] );
$query = mysql_query( "SELECT * FROM table WHERE text LIKE '%{$sql}%' ORDER BY id DESC" );

// В случае с поиском, данный фильтр пропускает символы "%".
// Чтобы запретить это:
$sql = str_replace( "%", "", $sql );

// Но этот символ не даст возможности испахабить запрос, поэтому инъекции не будет.

•

Ну и ещё забыл написать. Данную функцию можете использовать конечно для цифр, но советую делать так:

Код:

// Допустим $_GET['number'] будет равно "56 а здесь sql хакера"

$id = intval( $_GET['number'] );
if( $id > 0 )
{
// Тут наш код
}
else
{
// Тут вывод ошибки, если нет номера.
}

•

PHP_прогер расскажи подробнее

•

а функция eregi() в php больше не поддерживается. Код уже не сработает. Нужна другая конструкция для защиты от SQL-инъекций.

Бесплатные PHP скрипты - форум техподдержки

Защита от SQL-injection