[MySQL][PHP] SQL Injection Opcje

[-MPC User-]

Jakiś user udostępnił skrypt na pewnym forum i część użytkowników twierdzi, że jest on podatny na SQLi.

Nie znam się na php, ale chciałbym wtłoczyć ten skrypt do pewnej strony, ale nie wiem czy jest on bezpieczny.

[PHP] pobierz, plaintext 
<?php
// by Smudzas-Design
 
$host = '';
$user = '';
$pass = '';
$cena = 62; // cena pierwszego pierscionka
$czas = 7; // dlugosc pierwszego pierscionka
 
mysql_connect($host, $user, $pass);
mysql_select_db('account');
 
echo '<meta http-equiv="content-type" content="text/html; charset=utf-8" />';
 
$zap = "SELECT `cash` FROM `account` WHERE `id`='".$_SESSION['id']."' LIMIT 1";
$tab = mysql_fetch_assoc(mysql_query($zap));
 
if($_GET['akcja'] == 'pd'){
	if($_GET['dni'] == $czas){
		if($tab['cash'] < $cena){
			echo 'Masz zbyt mało Smoczych Monet<br>';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena.", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	elseif($_GET['dni'] == $czas*2){
		if($tab['cash'] < $cena*2){
			echo 'Masz zbyt mało Smoczych Monet';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas *2;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena*2 .", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	elseif($_GET['dni'] == $czas*4){
		if($tab['cash'] < $cena*4){
			echo 'Masz zbyt mało Smoczych Monet';
		}
		else{
			$data = date("Y-m-d H:i:s");
			$time = strtotime($data);  
			$czasTrwania = 3600 * 24 * $czas *4;  
			$nowaData = $time + $czasTrwania;
			$doKiedy = date("Y-m-d H:i:s", $nowaData);
 
			$pd = mysql_query("UPDATE `account` SET `cash`=`cash`-".$cena*4 .", `silver_expire`='".$doKiedy."' WHERE `id`='".$_SESSION['id']."'");
 
			if($pd){
				echo 'Pomyślnie kupiłeś PD';
			}
			else{
				echo 'Błąd. Spróbuj ponownie';
			}
		}
	}
	else{
		echo '<a href="index.php?akcja=pd&dni='.$czas.'"><h1 style="text-align:center;">'.$czas.' dni ('.$cena.' SM)</h1></a>';
		echo '<a href="index.php?akcja=pd&dni='.$czas*2 .'"><h1 style="text-align:center;">'.$czas*2 .' dni  ('.$cena*2 .' SM)</h1></a>';
		echo '<a href="index.php?akcja=pd&dni='.$czas*4 .'"><h1 style="text-align:center;">'.$czas*4 .' dni  ('.$cena*4 .' SM)</h1></a>';
	}
}
else{
	echo '<a href="index.php?akcja=pd"><h1 style="text-align:center;">Kup pierścień expa</h1></a>';
}
 
?>
[PHP] pobierz, plaintext 

[IProSoft]

@UP
a skąd pewnośc, że w ten sposób nie jest Tworzone ID? Może zaufać użytkownikowi...
To pierwszy błąd jaki rzucił mi się w oczy więc go o nim informuję, więc nie rzucaj odrazu miesem...

[greycoffey]

@UP
a skąd pewnośc, że w ten sposób nie jest Tworzone ID? Może zaufać użytkownikowi...
To pierwszy błąd jaki rzucił mi się w oczy więc go o nim informuję, więc nie rzucaj odrazu miesem...

Co tutaj jest do ufania użytkownikowi? Zatrucie sesji jest możliwe tylko wtedy, kiedy programiasta pisze idiotyczny kod. Równie dobrze mozna powiedzieć "co *jeśli* potrafię uzyskać dostęp do serwera?".
Dane sesyjne nie są (tfu, nie powinny być) ustawiane wprost od użytkownika.

Jeśli ceny ani casu nie da się zmienić, to ten kawałek kodu jest w 100% bezpieczny.