[php+sql]SQL INSERTION - UPDATE Opcje

[daniel1302]

Jest to pytanie abym poznał o co chodzi w SQL INJECTION

Mam taki plik

[PHP] pobierz, plaintext 
<?php
mysql_connect('localhost', 'root', '');
mysql_select_db('testowa');
$query = &#092;"UPDATE uzytkownicy SET login='\".$_GET['user'].\"'\";
mysql_query($query) or die(mysql_error());
?>
[PHP] pobierz, plaintext 

i w bazie jeden rekord
i jesli odpale link
example0x.php?user=daniel1302',%20pass='Daniela

to login zmienia na
daniel1302', pass='Daniel

Dlaczego nie zmienia hasła

Ten post edytował Piniek 20.04.2008, 11:50:15

Powód edycji: Dodanie odpowiedniego tagu do tematu. Proszę żeby następnym razem autor sam go dodawał.

[l0ud]

daniel1302, NIGDY nie ufaj magic_quotes. To, że u Ciebie na serwerze działa to poprawnie, nie oznacza, że gdzie indziej będzie tak samo. Poza tym później napotkasz się z problemami z wydobywaniem danych z bazy, bo nie do końca wiadomo będzie kiedy użyć stripslashes() (i po co, skoro nie używaliśmy addslashes()?)

Zawsze ręcznie filtruj zmienne wyjściowe.