|
SQL-инъекции
|
|
| [CM]OlegEhtler |
Дата: Воскресенье, 14.08.2016, 17:20 | Сообщение # 1
|
100$
Сообщений: 633
Статус: Offline
|
Сегодня мы с вами поговорим о том, что такое SQL-инъекции и как от них защититься!
вы спросите: «что такое SQL-инъекции?».SQL-инъекции - это один из распространённых способов вскрытиеа сайтов и программ работающих с базами данных основанный на внедрении в запрос произвольного SQL-кода.
Чаще всего внедрить SQL-инъекцию можно при помощи GET параметров.
например, серверное по получило входной параметр id, использует его для создания sql-запроса.
Код # предыдущий код скрипта...
$id = $_REQUEST['id'];
$res = mysql_query("SELECT * FROM news WHERE id_news =".$id);
# следующий код скрипта...
Если на сервер передан параметр id, который равен 3 (пример: http://google.com/script.php?id=3),при этом выполнится sql-запрос:
Код SELECT * FROM news WHERE id_news = 3;
если злоумышленник передает в качестве параметра id-строку -1 or 1=1 (http://google.com/script.php?id=-1+or+1=1),при этом выполняется запрос:
Код SELECT * FROM news WHERE id_news = -1 or 1=1;
Таким образом, изменение входных параметров путем добавления в них конструкций языка sql вызывает изменение в логике выполнения sql-запроса.
На данный момент SQL-инъекции не представляют никакой опасности для любых современных сайтов. потому что с одного момента у нас появилась вещь, которая называется PDO.И что же такое PDO? PDO – система подготовленных запросов к базе данных.
|
|
|
|
|
| Just-A-Man |
Дата: Среда, 17.08.2016, 08:24 | Сообщение # 2
|
Coder
Сообщений: 427
Статус: Offline
|
мало информации. Мб человек не пользуется PDO, как минимум можно было бы привести пример по mysql_real_escape_string (устаревший) и mysqli_real_escape_string (актуальный)
|
|
|
|
|
| Grustnuy |
Дата: Среда, 17.08.2016, 08:31 | Сообщение # 3
|
¯\_(ツ)_/¯
Сообщений: 201
Статус: Offline
|
Защититься проще, чем использовать эту уязвимость, вроде нужно просто фильтровать данные и если передавать числа то использовать
Код $id = (int) $_GET['id'];
Защищаться использованием PDO или prepared statements.
|
|
|
|
|
| Голубь |
Дата: Среда, 17.08.2016, 13:05 | Сообщение # 4
|
Авторитет
Сообщений: 2137
Статус: Offline
|
Just-A-Man, и еще лучше использовать ORM для легких запросов
двач
https://vk.com/povargek
|
|
|
|
|
| AlwaysOnline |
Дата: Вторник, 25.10.2016, 22:21 | Сообщение # 5
|
Боец
Сообщений: 101
Статус: Offline
|
это один из распространённых способов вскрытиЕА сайтов.
Ошибочка 
cheat-master.ru/forum/150-675944-1 - [CS:GO]Bunny Hopping
cheat-master.ru/forum/129-689334-1 - [SAMP]Визуальная смена скина.
|
|
|
|
|
