AYUDA-Inyección de Código SQL.

[art_rockerd]

Iniciado por abimaelrc

Se supone que si usaste lo que te indicamos no hayas tenido problemas. ¿Lo tuviste?

Hola, pues no he podido implementar consultas parametrizadas, lo he intentado de muchas maneras con Mysqli, pero solamente no me funciona... asi que no he podido implementar las consultas parametrizadas...

Código PHP:

function login($user,$pwd){
    
        // CONEXION A BDD
        $host="localhost";
        $user="root";
        $pass="";
        $schema="pruebas";
            $mysqli = new mysqli($host,$user,$pass,$schema);
            if (mysqli_connect_errno()) {
                printf("Fallo la conexion a la base de datos: ", mysqli_connect_error());
            }
                
            //PREPARAMOS LA CONSULTA
    $consulta = "SELECT username,pass FROM users WHERE username=? and pass=?";
 
        if ($sentencia = $mysqli->prepare($consulta)) {
            $sentencia->bind_param('ss', $user, $pwd);      
            /* ejecutar la sentencia */
            $sentencia->execute();
        
            /* vincular las variables de resultados */
            $sentencia->bind_result($username, $pass);
        
            /* obtener los valores */
            while ($sentencia->fetch()) {
                
                printf ("%s (%s)\n", $username, $pass);
            }
        
            /* cerrar la sentencia */
            $sentencia->close();
        }
 
 
}
 

realmente ya no se que hacer :S intente todo lo de la documentacion pero no logro obtener resultados... estoy intentando en ese script probar las sentencias preparadas, solo quiero imprimr usuario y passord que coincida con los parametros introducidos por el usuario, pero nada..en firebug pude ver que simplemente no obtengo ninguna respuesta. Me pueden ayudar a implementar las consultas parametrizadas?

http://www.php.net/manual/es/mysqli....statements.php
http://php.net/manual/es/mysqli-stmt.bind-param.php
http://www.php.net/manual/es/mysqli-...ind-result.php
http://www.php.net/manual/es/mysqli-stmt.fetch.php
http://www.php.net/manual/es/mysqli-stmt.bind-param.php