esto no lo entiendo en consulta sql

[ACX_POISON]

amigos gracias X leerlo

hace tiempo tengo una duda y no la he podido aclarar, trata de las consultas sql, he visto que es recomendable utilizar la funcion mysql_real_string_escape (si no me equivoco en escribirla) la cual agrega (/) antes de las (') pero podrian explicarme realmenete cual es la utilidad de esto y ademas me gustaria saber como hacer mas seguras mis consultas antes de ejecutarlas. por lo general utilizo una funcion de limpieza a los datos que ingresa un usuario (quitando '"/-;....etc).

¿Alguna Sugerencia?

Gracias---->

[Carlojas]

Que tal ACX_POISON, según el manual mysql_real_escape_string() Escapa caracteres especiales de una cadena para su uso en una sentencia SQL, utilizando las barras invertidas, esto con el fin de prevenir los famosos ataques SQL Inyection siempre es recomendable usarla, mira detenidamente la documentación de la función.


Saludos.

[Thavo]

Es una alternativa a la hora de evitar inyeccion de codigo sql desde fuera. A ver si me explico, para evitar que gente mal intencionada corrompa las consultas de sql que realices.

Para que tengas una info mas ampliada te recomiendo este link:

http://foro.elhacker.net/tutoriales_documentacion/tutorial_de_inyeccion_sql_sql_injection-t98448.0.html


yo tambien ando investigando sobre el tema asi que si descubres algo te agradeceria que me lo comentes.


SAludos

[sergi_climent]

en la misma pagina de PHP te lo explican con ejemplos, mysql_real_escape_string

Example #2 Un ejemplo de un ataque de inyección SQL

Código PHP:

  <?php
// Consultar la base de datos para verificar si hay una coincidencia de usuario
$consulta = "SELECT * FROM usuarios WHERE usuario='{$_POST['username']}' AND password='{$_POST['password']}'";
mysql_query($consulta);
 
// No revisamos $_POST['password'], ¡podría ser cualquier cosa que el usuario
// quiera! Por ejemplo:
$_POST['username'] = 'aidan';
$_POST['password'] = "' OR ''='";
 
// Esto quiere decir que la consulta enviada a MySQL sería:
echo $consulta;
?>   

La consulta enviada a MySQL:

SELECT * FROM usuarios WHERE usuario='aidan' AND password='' OR ''=''

Esto permitiría que cualquiera iniciara una sesión sin una contraseña válida.



Saludos