SQL Injection Koruması - tek tırnak

Question

Olası Çoğalt:
Best way to prevent SQL injection in PHP?

Ive SQL Enjeksiyon benim alanlarını korumak için test biraz yapıyor. Bunu yapmanın birkaç yolu olduğunu görüyorum, Kullanıcı girdilerime kaçarak, eğik çizgi ekleyerek veya daha iyisi parametreli sql deyimlerini kullanarak. Birkaç SQLi isteklerini denenmiş ve hata benim test sayfası olsun, ya da herhangi bir ek verileri gösteremedi

$q=$_GET["q"]; 
$game = mysql_query("SELECT * FROM `Games` WHERE `id` = '$q'"); 
$game = mysql_fetch_array($game); 

echo "<h4>ID: ".$game[0]."<br /></h4>name: " . $game[1]; 

Ve bu test kodu vardı

...

Ama ($ q tek tırnak Kaldırıldı) bu benim sql deyimi kod değişti ..

$game = mysql_query("SELECT * FROM `Games` WHERE `id` = $q"); 

Basit SQLi 's gerçekleştirmek ve bazı sonuçlar alabilir.

Kullanıcı girdilerimi sadece tek tırnakta yeterince iyi kaydediyor? Yoksa daha karmaşık SQLi tekniklerine baktım mı?

Answer 1

bu girişi deneyin:

abc' OR id <> ' 

aşağıdaki deyimi yol açacaktır: yerine sadece birinin tüm oyunları döneceğini

"SELECT * FROM `Games` WHERE `id` = 'abc' OR id <> ''" 

. Eğer sayfanız sonuçların tamamını göstermesine izin veriyorsa, o zaman kesinlikle o kadar çok şey görürsünüz ...

Dışarıdan çıkarılan ifadelerle PDO kullanmak, kullanıcı girdisini SQL deyimine eklemeden önce en az mysqli_real_escape_string() işlevine sahip olmaktır. .

SQL-Injection çok daha fazlasını yapabilir, en kötü durumda bile sunucu üzerinde kontrol sahibi olabilirsiniz.Bu tabloya bir göz atın. SQL Injection Cheat Sheet

Answer 2

Eğer

$game = mysql_query("SELECT * FROM `Games` WHERE `id` = '$q'"); 

varsayalım kullanıcı girişi eğer 1\'

olacak escape_string çıkışı daha 1' olduğunu let tek tırnak kullanmak zorunda Bu durumda mysql_real_escape_string() fonksiyonunu

kullanmalıdır sorgudan daha fazla kullanmayanlar,

SELECT * FROM `Games` WHERE `id` = 1' 

//that is wrong or a injection 

Ama iyi ve kaldırabilirsiniz tek tırnak durumda

SELECT * FROM `Games` WHERE `id` = '1\'' 

yılındasql-injection

Answer 3

SQL enjeksiyonu ve parametreli ifadeleri söz, ancak PDO karşısına görünmüyor

? - PDO http://www.php.net/manual/en/pdo.prepare.php