[SQL][PHP]ochrona przed sql injection-prosze o pomoc, prosze o pomoc bo mi sie juz słabo zrobiło Opcje

[majka111]

Witam

od kilku dni bawie sie w dedektywa i sledzę wszelkie mozliwe rozwiazania ochrony przed sql injection , znalazłem naprawde duzo sposobów ale mam jeden problem próbuje sklecić to wszystko w jedna całość i nie daje rady z powód jest jeden nie jestem programistą php. jakieś drobne improwizacje coś poprawić wstawić to jeszcze dam rade ale wszystkie sugestie jakie znalazłem sa do ludzi ktorzy na tym zjedli zęby i jest dla nich czywiste co gdzie i jak .

teraz o co mi chodzi mam skrypt strony www dziurawy jak druszlak jedyne zabezpieczenie jakie ma to jak jest "wyłączony"

próbuje zrobić 2 rzeczy :

obronic go przed sql injection i może jakies filtrowanie w drugiej kolejnosci

na stronie mam 3 miejsca które musze obronić logowanie do PA, dodawanie rekordów do trabeli przez formularz i formularz kontaktowy

Wyczytałem że panel admina to sesje + ciasteczka ale bardziej mi zalezy żeby ochronić same pola wpisu

znalazłem to wiem ze robi duzo dobrego , ale.....

gdzie TO, wstawić czy do pliku odpowiedzialnego za połaczenie z bazą czy do pliku logowania

[PHP] pobierz, plaintext 
<?php
// Connect
$link = mysql_connect('host', 'uzytkownik', 'haslo')
    OR die(mysql_error());
 
// Zapytanie
$query = sprintf("SELECT * FROM uzytkownicy WHERE uzytkownik='%s' AND haslo='%s'",
            mysql_real_escape_string($uzytkownik),
            mysql_real_escape_string($haslo));
?>
[PHP] pobierz, plaintext 

pytań mam dużo wiecej ale nie chce przesadzać na początek

Pozdrawiam

Mario

[CuteOne]

sprintf do napisania tego rodzaju zapytania to bezsensowna strata zasobów

[PHP] pobierz, plaintext 
<?php
// Connect
$link = mysql_connect('host', 'uzytkownik', 'haslo')
    OR die(mysql_error());
 
$salt = 'dew^&*y2/w2,.'; //wygenerowana sól - o soleniu haseł poczytasz na necie
 
$uzytkownik =   mysql_real_escape_string($uzytkownik); 
$haslo = sha1($haslo.$salt); // hashuj hasła tak aby w razie utraty danych nie wpadły w niepowołane ręce
 
$query = mysql_query("SELECT haslo FROM uzytkownicy WHERE uzytkownik='$uzytkownik' AND haslo = '$haslo'") or die(mysql_error());
 
if(mysql_num_rows($query)) { // użytkownik istnieje ponieważ mysql zwrócił wynik
 
}
else {
 
   echo 'Podane dane dla użytkownika '.htmlspecialchars($uzytkownik).' są nie prawidłowe'; // htmlspecialchars przeciwko atakom typu xss
}
?>
[PHP] pobierz, plaintext 

Ten post edytował CuteOne 29.08.2011, 22:11:36