ugrás a tartalomhoz

Sql befecskendezés

Szita Szilárd · 2013. Ápr. 14. (V), 19.46
Sziasztok unatkoztam ma egy picit beleolvastam egy könyveb és volt ott szó a weblapok feltöréséről és tök könnyen feltudtam törni a login felületemet,hogy tudom ezt megakadályozni?
Az alábbi módon jutottam be az oldalra 
 ' OR ' 1 ' = ' 1
Próbáltam itt az oldalon belépéskor,de itt hibát adott vissza :D
Nálam meg belép,de ha rossz nevet adok meg akkor nemlépbe
‹ Php regisztráció feldolgozás MYSQL ›
 ■
1

Valami olyat keress, hogy

H.Z. · 2013. Ápr. 14. (V), 19.56
Valami olyat keress, hogy mysql escape!
(bocs, a PHP hagyományos, régi mysql interface-ét nem ismerem)

Másik, hogy átállsz pl. PDO használatra és ú.n. prepared statementeket használsz, ott nincs szükség escape-elésre.
2

Helló

Szita Szilárd · 2013. Ápr. 14. (V), 20.01
Az alábbi dolgokat megtettem
de ugyan úgy belép :D Hát az objektumokhoz nem nagyon értek még :)


$username = stripslashes($username);
$password = stripslashes($password);
$username = mysql_real_escape_string($username);
$password = mysql_real_escape_string($password);
3

Így nem lépbe

Szita Szilárd · 2013. Ápr. 14. (V), 20.31

$sql = 'SELECT * FROM `'.($tbl_name).'` WHERE `username`="'.$username.'"AND`password`="'.($password).'"'; 
$result = mysql_query($sql);
4

Írasd ki

Pepita · 2013. Ápr. 16. (K), 01.29
Hogyhogy?
Ha ezt a $sql-t kiíratod, akkor látod, hogy "-ek közt vannak az értékek. Miért? Miért nem '?
Én tennék még legalább az AND elé és mögé szóközöket, ill. az = köré. Ez mondjuk csak "külalak".

Remélem használod továbbra is a mysql_real_escape_string-et. Próbáld ki speciális karakterekkel (pl. \<?) is, hátha az a stripcslashes nem jó oda!
5

trim

Alex Black · 2013. Ápr. 16. (K), 01.40
Üdv mindenkinek én még általában a trim()-et is szoktam használni ilyenkor,hogy még white space-k se legyenek :)
6

Miért ne?

Pepita · 2013. Ápr. 16. (K), 03.43
Ha én nem regisztrálhatok a honlapodon space-kezdetű felhasználónévvel, már nem is megyek! :)
De password esetében tényleg meg kell engedni. Legalább nehezebben írja fel cédulára...
7

PDO

Szita Szilárd · 2013. Ápr. 16. (K), 06.51
Szia átnéztem a pdo-t nem olyan vészes próbálom azt betenni legközelebb!