Forum PHP.pl

Witam

Mam problem tego typu - mam stworzony obiekt do obslugi zapytan do bazy danych mssql. Najczesciej uzywana jest funkcja query(), ktora wykonuje podane do niej zapytanie.

Teraz pojawia sie problem - mam napisane bardzo duzo aplikacji w ktorych nie mam mozliwosci wprowadzic filtrowania pobieranych znakow. Potrzebowalbym filtrowac to co jest przekazywane do funkcji query(). Przedewszystkim chodzi mi o zablokowanie mozliwosci wstrzykniecia komend drop database, drop table, create table.

Zapytania ktore wedruja do tej funkcji maja rozna postac - raz jest to zwykly select, innym razem jest to select z joinem itp. Ogolnie zasada jest taka ze na raz przekazywana jest tylko jedna kwerenda.

Czy ktos ma jaki pomysl w jaki senswny sposob zabezpieczyc tak napisana klase?

Proponuję byś wkleił to co napisałeś do tej pory.

Może coś takiego pomoże:

[PHP] pobierz, plaintext 
<?php
class baza{
	function isSafe($sqlString){
		$unsafeMask=array(
			'drop table',
			'drop database'
		);
 
		foreach($unsafeMask as $val){
			//stripos jest niewrazliwe na wielkość znakow
			if(stripos($sqlString, $val)){
				return false;
			}
		}
		//tu mozna jeszcze sprawdzac inne warunki
		return true;
	}
 
	function query($sqlString){
 
		if(!$this->isSafe($sqlString)) return false;
 
		//...
 
		mysql_query($sqlString);
 
		//...
 
		return true;
 
 
 
	}
 
}
?>
[PHP] pobierz, plaintext 

http://www.php.rk.edu.pl/w/p/postgresql-i-php/

tu masz przykładową klasę - co prawda dla postgreSQL ale łatwo to zamienić

php1983 - no niestety, jest to rozwiazanie, ktore niezbyt mnie zadowala -wystarczy ze zapytanie bedzie mialo postac:

[SQL] pobierz, plaintext 
SELECT * FROM TABLE WHERE komentarz = 'we have to block DROP DATABASE';
[SQL] pobierz, plaintext 

I juz sie nie wykona.

kavka - nie wkleje dokladnie bo nie mam teraz dostepu do kodu ale wyglada to +/- tak:

[PHP] pobierz, plaintext 
<?php
function query($sqlString){
  if (mysql_query($sqlString)) {
	return true;
  } else {
	return false;
}
?>
[PHP] pobierz, plaintext