Basta con esta funcion para evitar ataques sql?

[RichBoy]

Basta con esta funcion para evitar ataques sql por medio de las variables externas? solo para las variables externas, pues se que se puede por otros medios pero por el momento quiero saver si con esta funcion estamos seguros de que no van a inyectar algun codigo maligno atraves de las variable externas.


http://www.forosdelweb.com/f18/ejemp...4/#post2351131

Código PHP:

if (!function_exists("GetSQLValueString")) { 
function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "")  
{ 
  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue; 
 
  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue); 
 
  switch ($theType) { 
    case "text": 
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; 
      break;     
    case "long": 
    case "int": 
      $theValue = ($theValue != "") ? intval($theValue) : "NULL"; 
      break; 
    case "double": 
      $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL"; 
      break; 
    case "date": 
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; 
      break; 
    case "defined": 
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue; 
      break; 
  } 
  return $theValue; 
} 
}
 

ejemplo de llamando a la funcion:

Código PHP:

$variable=GetSQLValueString($_GET['Id'],"int");
 

[Triby]

Tengo entendido que esa es una funcion creada por medio de DreamWeaver y si, es util para evitar inyecciones SQL.

Iniciado por RichBoy

Basta con esta funcion para evitar ataques sql por medio de las variables externas? solo para las variables externas, pues se que se puede por otros medios...

Creo que necesito un poco de actualizacion... me puedes comentar algo sobre otros medios que se pueden usar para inyeccion SQL?

[RichBoy]

preguntaselo a HackmanC quien asegura que No, no hay una función definitiva para evitar ataques, inyecciones sql y que ademas no hay una, ni dos, ni cientos, hay miles de formas de hacer iyecciones sql.

Eso me tiene algo confundido, pues yo quiero hacer mi aplicacion segura y evitar ataques, iyecciones sql, pero este man me tiene algo confundido con todo eso que me dice. Me gustaria saver como hacer mi aplicacion segura y es por eso que sigo investigando sobre el tema...

[abimaelrc]

Bueno, desconozco que quiso indicar, pero mysql_real_escape_string evita primer grado de sql injection.

[Hidek1]

Bueno como a todos les recomiendo.. si quieres protegerte lo mejor es conocer al enemigo..
te recomiendo te leas una guía de inyecciones SQL para q entiendas las formas comúnmente utilizadas para quebrar la seguridad de los sitios.. una vez entiendas como atacar.. te sera mas fácil defender ^^


saludos.

[RichBoy]

Gracias, bueno para los interesados me encontre este link que se ve bastante bien...

http://phpbarcelona.org/files/phpwor...ckWeb-v1-4.pdf

[C2am]

Tengo una consulta sobre esa función
¿siempre deberá ser "int"'
Digo:

Código HTML:

$variable=GetSQLValueString($_GET['Id'],"int");
 

Porque cuando pongo por ejemplo.

Código HTML:

$variable=GetSQLValueString($_POST['titulo'],"text");
 

, me salta un error al querer guardar en la base de datos.
En cambio si uso "int", a pesar de ser texto no tengo ningun problema.

Si alguien me puede explicar el funcionamiento de la misma le estaría muy agradecido

BUENO, listo, ya comprendí el por qué del error.
Lo que pasa es que en cada case a la variable le agrega comillas simples, lo cual rompía el codigo sql que uso, ya que no utilizo el sprintf() generado por dreamweaver, sino directamente la consulta. aplicando el filtro o función previamente a introducirla en el SELECT o INTO etc.

Lo único que hice fue agregar otro case llamando "texto" donde reemplazo "'" por " "

Código PHP:

switch ($theType) { 
    case "text": 
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; 
      break;    
case "texto": 
      $theValue = ($theValue != "") ? " " . $theValue . " " : "NULL"; 
      break;     
    case "long": 
    case "int": 
      $theValue = ($theValue != "") ? intval($theValue) : "NULL"; 
      break;