zablokowac ; (średnik), SQL injection Opcje

[php programmer]

witam
czy jeśli zablokuje wykonianie pytania ze średnikiem to pozbędę sie automatycznie problemu SQL INJECTION?
Jeśli tak, to jak moge taka blokade ustawic samodzielnie,
czy tez moze zrobic to jedynie administrator?

Ten post edytował php programmer 9.01.2006, 17:46:38

[ikioloak]

Nie pozbedziesz sie. To nie jest az tak proste. Przstudiuj przyklad:

[PHP] pobierz, plaintext 
<?php
 
$query = "delete from clients where id=".$_GET['id'];
print $query;
 
?>
[PHP] pobierz, plaintext 

zamiast print $query oczywiscie u ciebie jakies operacje na bazie. Strone ta wywolujesz oczywiscie strona.php?id=5
I teraz zobacz co sie stanie jak ktos wpisze strona.php?id=5 or 1=1

[kicaj]

Jak juz to:

[PHP] pobierz, plaintext 
<?php
$query = "DELETE FROM clients WHERE id="'. $_GET['id'] .';";
?>
[PHP] pobierz, plaintext 

Ale nie stosowalem nigdy srednika w zapytaniach SQL to nie wiem czy to mozliwe.

Oczywiscie zmienna $_GET musi byc odpowiednio sprawdzana przez nasz system, warunkami, typem, moze regexp oraz funkcja mysql_escape_string itp.

P.S.

[SongoQ]

czy jeśli zablokuje wykonianie pytania ze średnikiem to pozbędę sie automatycznie problemu SQL INJECTION

Srednik do tego nic nie ma, radze poszukac posta na forum gdzie temat byl walkowany.

[mike]

Zamykam.
Temat SQInjection jest poruszany w wątku: SQL Injection/Insertion, Jak zapobiec włamaniu na stronę.