Evitar sql injection

neodani · #1 (**permalink**) 21/02/2009, 11:34

Buenas,

Despues de leer cientos de webs que hablaban del tema me quedo con el siguiente script, me gustaría que me dieséis vuestra opinión.

Os parece suficiente? cambiarias algo? nivel de seguridad del 1 al 10? xD

Gracias!

Edito: No me deja pegar el codigo php me sale un error:
Error 500 page. Change it on /errors/500.html Add more on the .htaccess file

Italico76 · #2 (**permalink**) 21/02/2009, 11:39

Bueno.....hay muchas formas de evitar el injection...... basicamente tenes que escapar o eliminar las comillas, apostrofes......y demas cosas que suelan aparecer en una sentencia de MYSQL

Ronruby · #3 (**permalink**) 21/02/2009, 11:40

http://www.php.net/manual/en/functio...ape-string.php

EDIT: Ya viendo tu codigo, lo unico que te digo es que no dependas de magic_quotes_gpc(). Mejor desactivalas y siempre usa addslashes o mysql_real_escape_string.

Código PHP:

<?php echo $var; ?>

PD: Me dejo poner codigo, solo agregalo luego de haber puesto el POST usando Editar.

neodani · #4 (**permalink**) 21/02/2009, 11:42

Acabo de pegar una imagen del código, no me dejaba poner de ninguna de las maneras.

Espero vuestros comentarios!

neodani · #5 (**permalink**) 21/02/2009, 17:27

Cita:

Iniciado por Ronruby

http://www.php.net/manual/en/functio...ape-string.php

EDIT: Ya viendo tu codigo, lo unico que te digo es que no dependas de magic_quotes_gpc(). Mejor desactivalas y siempre usa addslashes o mysql_real_escape_string.

Código PHP:

<?php echo $var; ?>

PD: Me dejo poner codigo, solo agregalo luego de haber puesto el POST usando Editar.

Así que dejarias el codigo tal cual y solo quitarias la linea

if(get_magic_quotes_gpc())

Correcto?

rodrigoc · #6 (**permalink**) 21/02/2009, 17:40

Otra cosa. Usa expresiones regulares, para eliminar comillas y "caracteres raros". Hay muchas funciones dando vuelta para filtrar datos...

neodani · #7 (**permalink**) 22/02/2009, 06:19

Cita:

Iniciado por rodrigoc

Otra cosa. Usa expresiones regulares, para eliminar comillas y "caracteres raros". Hay muchas funciones dando vuelta para filtrar datos...

Pero para eso ya se inventó el mysql_real_escape_string() no?

No es suficientemente válida la función expuesta arriba para evitar el sql injection?

Gracias

Italico76 · #8 (**permalink**) 22/02/2009, 08:31

Interesante....... ahora por fin lo entiendo..... se cubre de varios casos.

Revisando foros... veo que algunos chequean que no se un numero la entrada.......pues.......en ese caso..... no tendria sentido hacer nada..... pero claro.... luego no se usaria el comillado simple en la consulta para envolver la variable

EDIT: je... perdon por postear una duda...... en fin...... no se porque no lo entendia.....y ahora que estoy quebrado porque vengo de bailar.... se me hizo la luz