Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> [php+sql]SQL INSERTION - UPDATE
daniel1302
post
Post #1





Grupa: Zarejestrowani
Postów: 602
Pomógł: 30
Dołączył: 1.08.2007
Skąd: Nowy Sącz

Ostrzeżenie: (0%)
-----


Jest to pytanie abym poznał o co chodzi w SQL INJECTION

Mam taki plik

  1. <?php
  2. mysql_connect('localhost', 'root', '');
  3. mysql_select_db('testowa');
  4. $query = &#092;"UPDATE uzytkownicy SET login='\".$_GET['user'].\"'\";
  5. mysql_query($query) or die(mysql_error());
  6. ?>


i w bazie jeden rekord
i jesli odpale link
example0x.php?user=daniel1302',%20pass='Daniela

to login zmienia na
daniel1302', pass='Daniel

Dlaczego nie zmienia hasła

Ten post edytował Piniek 20.04.2008, 11:50:15
Powód edycji: Dodanie odpowiedniego tagu do tematu. Proszę żeby następnym razem autor sam go dodawał.
Go to the top of the page
+Quote Post
 
Start new topic
Odpowiedzi
Crozin
post
Post #2





Grupa: Zarejestrowani
Postów: 6 476
Pomógł: 1306
Dołączył: 6.08.2006
Skąd: Kraków

Ostrzeżenie: (0%)
-----


  1. <?
  2.  
  3. //z formularza
  4. $_GET['user'] = "test', pass = 'qwerty";
  5.  
  6. $query = "UPDATE uzytkownicy SET login='".$_GET['user']."'";
  7. //UPDATE uzytkownicy SET login='test', pass = 'qwerty'
  8. //SQJ INJECTION zadziała - zmieni sie login,pass
  9.  
  10. //Ale gdy mamy magic_quotes:
  11. //Zmienna z formularza jest escape'owana
  12. $_GET['user'] = "test', pass = 'qwerty";
  13.  
  14. $query = "UPDATE uzytkownicy SET login='".$_GET['user']."'";
  15. //UPDATE uzytkownicy SET login='test', pass = 'qwerty'
  16. //Czyli zostanie zmieniony jedynie login na: test', pass = 'qwerty
  17. //Ale samo haslo nie zostanie zmienione
  18.  
  19. ?>
Tak więc jak widzisz, magic_quotes mogą ochronić czasem słabych programistów (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) No chyba, że Ci jeszcze przed wykonaniem zapytania, użyją na tablicach _POST i _GET stripslashes" title="Zobacz w manualu PHP" target="_manual (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif)
Go to the top of the page
+Quote Post

Posty w temacie


Reply to this topicStart new topic
2 Użytkowników czyta ten temat (2 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 



RSS Aktualny czas: 10.10.2025 - 10:42