Как защититься от sql-иньекции?

@Brajt · Регистрация: 20.11.2010

Студворк — интернет-сервис помощи студентам

мне недавно человек прислал пароль от пользователя Admin на сайте, говорит может узнать любой пароль. подозреваю, он их узнает через sql-иньекцию. подскажите, каким способом можно защититься от иньекций?

@DANON · 11.03.2011, 01:42

Путем хранения паролей в md5 и проверки ввода спец-символов в поле username.
То есть сначала проверяем, не ввел ли пользователь в поле login недопустимые спецсимволы типа %, ', ", / и т.п. Если нет, то сравниваем md5-хешированный пароль md5($str), который он указал, с хеш-кодом пароля из БД или файла.

Вроде это надежный способ.

@Brajt · 11.03.2011, 01:47 **[ТС]**

пароли зашифрую. но ведь возможность сделать иньекцию останется и неизвестно что сделают с базой в следующий раз. читал что через иньекцию можно даже постирать данные в таблицах. поэтому вопрос остается в силе, как можно недопустить иньекции? таблица с логинами и паролями не одна, есть и другие

__PION__ · 11.03.2011, 02:24

всегда все что идет на сервер пускай через ф-ю mysql_real_escape_string();
Запросы делай вида (для INSERT'а например)

PHP
1
2
3
4
$t = "INSERT INTO имя_таблицы (поле_1, поле_2) VALUES ('%s', '%s')";
    $query = sprintf($t, 
                     mysql_real_escape_string(переменная_для_поля_1),
                     mysql_real_escape_string(переменная_для_поля_2));

%s - если строка
%d - если число
..... есть еще другие значения для других типов/
еще не забудь про ф-ии
htmlspecialchars -- Преобразует специальные символы в HTML сущности
trim

@xand · 11.03.2011, 13:19

Brajt, сайт по видеоуроку небось делали?

@Brajt · 11.03.2011, 16:16 **[ТС]**

xand, начинал по видеокурсам Попова. потом когда почитал отзывы, перешел на информацию из гугла и php форумы.
вот, кое-что набросал:

PHP
1
2
3
4
$result00 = mysql_query("SELECT COUNT(*) FROM categories WHERE rid='int($cat)'");
$result = mysql_query("SELECT id,name,kol FROM categories WHERE rid='int($cat)' ORDER BY id LIMIT int($start), int($num)");
$result = mysql_query("SELECT rid FROM mp3 WHERE name LIKE 'mysql_real_escape_string(%$search%)'");
$result2 = mysql_query("INSERT INTO users (login, pass) VALUES ('mysql_real_escape_string($login)', 'mysql_real_escape_string($pass)')");

выше приведенные запросы правильно составлены? еще не совсем понимаю...

Добавлено через 1 час 0 минут
да, забыл написать, там где поставил int, через переменную передается число. а где стоит mysql_real_escape_string, передается текст

@DANON · 12.03.2011, 01:09

А разве можно вызывать функции PHP внутри строк?

Новые блоги и статьи Все статьи Все блоги /
Первый деплой lagorue 16.01.2026 Не спеша развернул своё 1ое приложение в kubernetes. А дальше мне интересно создать 1фронтэнд приложения и 2 бэкэнд приложения развернуть 2 деплоя в кубере получится 2 сервиса и что-бы они. . .	Расчёт переходных процессов в цепи постоянного тока igorrr37 16.01.2026 / * Дана цепь постоянного тока с R, L, C, k(ключ), U, E, J. Программа составляет систему уравнений по 1 и 2 законам Кирхгофа, решает её и находит токи на L и напряжения на C в установ. режимах до и. . .	Восстановить юзерскрипты Greasemonkey из бэкапа браузера damix 15.01.2026 Если восстановить из бэкапа профиль Firefox после переустановки винды, то список юзерскриптов в Greasemonkey будет пустым. Но восстановить их можно так. Для этого понадобится консольная утилита. . .	Изучаю kubernetes lagorue 13.01.2026 А пригодятся-ли мне знания kubernetes в России?
Сукцессия микоризы: основная теория в виде двух уравнений. anaschu 11.01.2026 https:/ / rutube. ru/ video/ 7a537f578d808e67a3c6fd818a44a5c4/	WordPad для Windows 11 Jel 10.01.2026 WordPad для Windows 11 — это приложение, которое восстанавливает классический текстовый редактор WordPad в операционной системе Windows 11. После того как Microsoft исключила WordPad из. . .	Classic Notepad for Windows 11 Jel 10.01.2026 Old Classic Notepad for Windows 11 Приложение для Windows 11, позволяющее пользователям вернуть классическую версию текстового редактора «Блокнот» из Windows 10. Программа предоставляет более. . .	Почему дизайн решает? Neotwalker 09.01.2026 В современном мире, где конкуренция за внимание потребителя достигла пика, дизайн становится мощным инструментом для успеха бренда. Это не просто красивый внешний вид продукта или сайта — это. . .

@Brajt 3 / 3 / 0 Регистрация: 20.11.2010 Сообщений: 60

	Как защититься от sql-иньекции? 11.03.2011, 01:30. Показов 1668. Ответов 6 Метки нет (Все метки) мне недавно человек прислал пароль от пользователя Admin на сайте, говорит может узнать любой пароль. подозреваю, он их узнает через sql-иньекцию. подскажите, каким способом можно защититься от иньекций? 0

@DANON 35 / 22 / 5 Регистрация: 27.06.2010 Сообщений: 86
	11.03.2011, 01:42
	Путем хранения паролей в md5 и проверки ввода спец-символов в поле username. То есть сначала проверяем, не ввел ли пользователь в поле login недопустимые спецсимволы типа %, ', ", / и т.п. Если нет, то сравниваем md5-хешированный пароль md5($str), который он указал, с хеш-кодом пароля из БД или файла. Вроде это надежный способ. 0

@Brajt 3 / 3 / 0 Регистрация: 20.11.2010 Сообщений: 60
	11.03.2011, 01:47 [ТС]
	пароли зашифрую. но ведь возможность сделать иньекцию останется и неизвестно что сделают с базой в следующий раз. читал что через иньекцию можно даже постирать данные в таблицах. поэтому вопрос остается в силе, как можно недопустить иньекции? таблица с логинами и паролями не одна, есть и другие 0

@xand 84 / 84 / 8 Регистрация: 12.04.2010 Сообщений: 324
	11.03.2011, 13:19
	Brajt, сайт по видеоуроку небось делали? 0

@DANON 35 / 22 / 5 Регистрация: 27.06.2010 Сообщений: 86
	12.03.2011, 01:09
	А разве можно вызывать функции PHP внутри строк? 0