Forum PHP.pl

daniel1302, NIGDY nie ufaj magic_quotes. To, że u Ciebie na serwerze działa to poprawnie, nie oznacza, że gdzie indziej będzie tak samo. Poza tym później napotkasz się z problemami z wydobywaniem danych z bazy, bo nie do końca wiadomo będzie kiedy użyć stripslashes() (i po co, skoro nie używaliśmy addslashes()?)

Zawsze ręcznie filtruj zmienne wyjściowe.

atak dziala normalnie. jest pelno filmow w necie jak takie ataki sa robione.

[PHP] pobierz, plaintext 
<?
 
//z formularza
$_GET['user'] = "test', pass = 'qwerty";
 
$query = "UPDATE uzytkownicy SET login='".$_GET['user']."'";
//UPDATE uzytkownicy SET login='test', pass = 'qwerty'
//SQJ INJECTION zadziała - zmieni sie login,pass
 
//Ale gdy mamy magic_quotes:
//Zmienna z formularza jest escape'owana
$_GET['user'] = "test', pass = 'qwerty";
 
$query = "UPDATE uzytkownicy SET login='".$_GET['user']."'";
//UPDATE uzytkownicy SET login='test', pass = 'qwerty'
//Czyli zostanie zmieniony jedynie login na: test', pass = 'qwerty
//Ale samo haslo nie zostanie zmienione
 
?>
[PHP] pobierz, plaintext 

Tak więc jak widzisz, magic_quotes mogą ochronić czasem słabych programistów No chyba, że Ci jeszcze przed wykonaniem zapytania, użyją na tablicach _POST i _GET stripslashes" title="Zobacz w manualu PHP" target="_manual