proteger de sql injecting

[monxas]

como protejo mis formularios para que no puedan hacerlo?
tengo entendido que el sql injecting es metiendo lineas sql en los campos. como lo evito?

[alpe2000]

Obviamente, lo evitas filtrando el contenido del campo antes de enviarlo a la base de datos.

En el hilo de arriba de todo,
http://www.forosdelweb.com/f15/bibli...utinas-238829/

tienes ejemplos usando replace.

[monxas]

reformulo mi pregunta, que debo impedir que escriban?

[mc_quake]

Function killChars(strWords)
dim badChars
dim newChars

badChars = array("xp_", "<", ">","--", ";--", ";", "/*", "*/", "@@","@", "char", "nchar", "varchar", "nvarchar", "alter", "begin", "cast", "create", "cursor", "declare", "delete", "drop", "exec", "execute", "fetch", "insert","kill", "open", "select", "sys", "sysobjects", "syscolumns", "table", "update","truncate","dim","java", "script","'","´","href","content-transfer-encoding","quoted-printable","content-type","subject:","bcc:","x-mailer")
newChars = strWords

for i = 0 to uBound(badChars)
newChars = replace(newChars, badChars(i), "")
next

killChars = newChars
End Function

[monxas]

vale con esto me hago una idea, gracias

[Valery-Net]

Bueno, yo pienso que no podemos reemplazar tantos caracteres por una cadena vacía, no puedo llegar donde el cliente y decirle: "no puedes escribir > < @ porque esos datos no te los guarda"

La solución depende de varios factores, por ejemplo, si uso SQL Server como backend entonces utilizo procedimientos almacenados y los parámetros se los paso por objectos Command

También podrías "escapar" los caracteres (en caso que la aplicación sea web), por ejemplo:

cTxt = Replace(cTxt, "<", "&#060+;")
cTxt = Replace(cTxt, ">", "&#062+;")
cTxt = Replace(cTxt, "insert", "&#105+;&#110+;&#115+;&#101+;&#114+;&#116+;")
cTxt = Replace(cTxt, "delete", "&#100+;&#101+;&#108+;&#101+;&#116+;&#101+;")
cTxt = Replace(cTxt, "drop", "&#100+;&#114+;&#111+;&#112+;")

Quita el caracter + del código, lo agregue porque el foro reemplaza las cadenas escapadas por el resultado de la misma

El problema real está en la comilla sencilla, podrías reemplazar o de igual forma escapar lo reemplazar por dos comillas.

[monxas]

muchas gracias valery-net