[MySQL][PHP]Czy skrypt jest zabezpieczony przed SQLinjection Opcje

[tomek200]

Witam mam pytanie czy ten skrypt jest bezpieczny na działanie SQLinjection?

[PHP] pobierz, plaintext 
     <?php
 
     session_start();
     ob_start();
     include('connect.php');
 
     $login = $_POST['login'];
     $haslo = $_POST['password'];
 
     if ( trim($login) != '' && trim($haslo) != '' ){
     $zapytanie = mysql_query("SELECT login FROM user WHERE login = '$login'");
     $wynik_zapytania = mysql_fetch_array($zapytanie);
 
         if ($wynik_zapytania[0] != $login) {
             header('Location: admin_login.php?message=user_nie_istnieje');
         }else{
            $zapytanie = mysql_query("SELECT password, imie, nazwisko FROM user WHERE login = '$login'");
            $wynik_zapytania = mysql_fetch_array($zapytanie);
 
                if ($haslo == $wynik_zapytania[0]) {
 
                    $_SESSION['imie'] = $wynik_zapytania[1];
                    $_SESSION['nazwisko'] = $wynik_zapytania[2];
                    $_SESSION["logged"] = true;
                    header('Location: nav.php');
 
                }
                else{
                    header('Location: admin_login.php?message=zle_haslo');
                }
         }
 }else{
    header('Location: admin_login.php?message=wypełnij_pola_formularza');
 }
     ob_end_flush();
    ?>
[PHP] pobierz, plaintext 

[ilidir]

poczytaj -> http://www.php.pl/Wortal/Artykuly/Bezpiecz...wa-skryptow-PHP

[pasman]

Witam mam pytanie czy ten skrypt jest bezpieczny na działanie SQLinjection?

czy umieściłeś tu jakiekolwiek zabezpieczenie ?
coś nie mogę się dopatrzeć...

[goartur]

czy umieściłeś tu jakiekolwiek zabezpieczenie ?
coś nie mogę się dopatrzeć...

Och jak ja lubie takie osoby ( )

Witam,

polecam zrobienie na poczatku jakiegos pliku z funkcjami i podpiecie go pod ten scrypt ("require")

Zrob funkcje, ona powinna cie w miare zabezpieczyc.:

[PHP] pobierz, plaintext 
function protect_SQL($string){
	$string = mysql_real_escape_string(trim(strip_tags(addslashes($string))));
	return $string;
}
[PHP] pobierz, plaintext 

mysql_real_escape powinno wystarczyc lecz na wszelki wypadek dodalem pare innych wbudowanych funkcji.


Nastenie:

[PHP] pobierz, plaintext 
 $login = function protect_SQL($_POST['login']);
     $haslo = function protect_SQL($_POST['password']);
[PHP] pobierz, plaintext 

I usun Trim z zapytan IF

[tzm]

scrypt ("require")

Och jak ja lubie takie osoby ( )

chcesz zmieniać świat zacznij od siebie

chcesz oceniać innych, naucz się pisać.

[viking]

Zamień całość na PDO z prepared statements i wtedy rozwiążesz problem. Rozszerzenie mysql nie jest już wspierane.