pa sad znas kad koristis forme i varijable koristis da bi napravio query taj query moze biti opasan za tvoju sql bazu jer moze neko postati nesto sto ti nisi predvidio i tako da ti napravi sql injection.

Daj reci gdje kazu da imas injection...?

Šta ja mogu da uradim da sprečim to?

Na sajtu imam spisak vesti, pa sa tog spiska link ka toj vesti:

Na primer:
vest.php?vest_id=12 itd.

a vest_id je stvarno ime polja u tabeli vesti

Treba li da uradim na drugi način?

Pa treba da uradiš sve što možeš da do injectiona ne bi došlo..

Znači sve promenljive koje se prosleđuju sa stranice na stranicu prvo proveriš do detalja, uveriš se da je neka promenljiva tačno to što treba da bude... Ako je sve u redu, pustiš promenljivu u sql query. Ima tu još mnogo caka....

To zapravo znaci da neko putem varijable te recimo id moze da unese nesto nepredvidjeno i da ti se uloguje i hakne ti sajt

Kako to radi
http://www.google.com/search?q=sql+injection

Recimo imas upit
select id, forename, surname from authors

i kad uneses neke vrednosti dobijes
select id, forename, surname from authors where forename = 'john' and surname = 'smith'

e a onda neki drpipac unese
Forename: jo'; drop table authors--
i sve obrise ti tabelu ili usere ili tako nesto

Najbolje je da pogledas google link
kako resiti ovaj problem, pa jednostavno na svaku promenljivu koju ukljucujes u sql upit uradi funkciju addslashes i siguran si

.... uradi funkciju addslashes ...


Kako da uradim ovu funkciju - da li u MySql manual-u ima nešto otome?

Umesto:
$q = "SELECT * FROM users WHERE id='$id'";

pises:
$q = "SELECT * FROM users WHERE id='" . addslashes($id) . "'";

ili:
$sql_id = addslashes($id);
$q = "SELECT * FROM users WHERE id='$sql_id'";

Da li ovaj kod resava probleme?



Ako ne resava recite.

BTW: Svi query-ji idu preko klase koju sam napisao za rad sa MySQL-om tako da ih mogu uvek parsirati, proveravati i raditi sa njima sta god hocu pre nego sto se izvrse.

Ne ide mi nikako ovo sa '" . addslashes($id) . "'"

Da li neko moze da mi pomogne evo primera:

Tri tabele grupe, pod_grupe, vesti

Prava strana - spisak grupa za koje ima vesti

grupe.php:



link ka strani pod_grupe.php:
<a href="pod_grupe.php?grupa_id=<?php echo $row_rsvesti['grupa_id']; ?>"></a>

Druga strana - spisak pod_grupa u okiru trazene grupe za koje ima vesti

pod_grupe.php:





Treca strana spisak vesti u pod_grupi... itd.

ilija: to deluje ok, osim ako negde drugde nisi otvoren za injection.. tako nešto i ja imam, samo na drugom mestu, tj pri prosleđivanju parametara sql upita..



to naravno ne može (kao što sam već par puta objašnjavao), zato što mysql ne dozvoljava unos više upita pri jednom pozivu funkcije mysql_query().

naravno da na ovo treba paziti, ali ne treba to raditi sa netačnim i preuveličanim primerima..

Ilija to je ok, samo meni je logičnije da se isto (ja ipak koristim funkcije sql_int, sql_string, sql_bool) nalazi pri sastavljanju upita nego da radiš proveru GET parametara. Na primer negde ti nešto iz GET-a može trebati bez kosih crta ;), ovako samo usporavaš sve. Plus, šta ako nešto čitaš iz baze što je umetnuto na drugom mestu, pa ako čitaš datoteku, i na kraju šta ako prenosiš serijalizovan niz kroz GET? ;)

Više upita se ne može od jednom izvršiti, ali ima lepih fora sa "OR 1=1" pri proveri user/pass kombinacije ;)

OK, ali ja primer nisam dao samo za mysql vec za sql uopste.
nisam ja izmislio taj primer vec sam ga kopirao sa nekog sajta, kontam da je to najbolji nacin da se coveku objasni sta je to "injekcija" :)
A za mysql_query() se slazemo naravno

Da potpuno si u pravu, samo ko li pise takav kod da mu SQL pravi verifikaciju... obicno bi trebalo povaditi podatke iz baze pa porediti sa get post varijablama...

Ja sve radim u Dreamweaver-u, tako da kada se "pozovem" na neku varijabilu iz forme Dreamweaver mi ispred "Select" ubaci sledeći kod: