Injeções sql

victorvu disse:

Hola, estoy trabajando en una web donde hice un sistema de mensajes y quiero saber que onda con las inyecciones.
Trabajo con php y mysql.

Mi duda viene xq siempre pense y lei que las inyecciones solo se pueden hacer en SELECT pero x ahi me dicen q tmb se puede en INSERT y no se si es verdad, si alguno sabe algo

Clique para expandir...

www.pepe.com/?id=1

fercba disse:

Las inyeciones pueden seleccionar, editar, eliminar, etc. Por eso es necesario validar siempre la informacion que recibas sea via get o post. En la documentacion de php se habla un poco acerca de eso, date una vuelta por hay y te dan recomendaciones. Yo te recomendaria que no utilizes el antiguo mysql sino PDO. Tiene muchas funciones interesantes.

Clique para expandir...

Dani Diez disse:

Te aconsejo que filtres TODO el contenido tanto en la parte que envia el cliente como la que se recibe al servidor.
Además de preocuparte por las SQLinjection tienes que prevenir otros ataques que pueden vulnerar tu aplicación. Tales como Remote/Local File Inclusion, XSS y CSRF entre otros...

Aqui te dejo un articulo sobre algunos tips para securizar tu sistema en php Seguridad en PHP ~ Security By Default

Además te recomiendo utilizar el modulo MySQLi en php How to Use PHP Improved MySQLi extension (and Why You Should)

Espero que te sirva 🙂

Un saludo

Clique para expandir...

cicklow disse:

podrias testear si es vulnerable usando: "sqliHelper 2.7", ejemplo tenes:

Inserir CODE, HTML ou PHP:

www.pepe.com/?id=1

colocas esa url en el soft y comenzara a testear a ver si te pueden hackear!

Clique para expandir...

<?php
function limpiar($string)                                            
{
 $string = htmlentities($string);
 $string = strip_tags($string);
 $string = stripslashes($string);
 $string = addslashes($string);
 return $string;
}

Strings disse:

No, la mejor opcion para evitar Inyeccion SQL es utilizar en la sentencia mysqli_real_escape_string(), Injection SQL se pueden producir en UPDATE, DELETE, SELECT, INSERT INTO, ALTERT TABLE, etcc

Clique para expandir...