Mysql injection en get como solucionar

[byrong]

Estuve buscando por google algo de seguridad para Páginas Web y pues vi que si colocabas en un get por ejemplo una comilla ' y te lanzaba error esto quería decir que tu página era vulnerable a una injection por mysql.
Pues si, probé en mi página y me lanza un error de mysql e intente hackearla y si pude, pero como puedo solucionar esto? Estuve leyendo y por escape string hay una solución pero intenté y no pude, el código que tengo en el get es el siguiente:

Código PHP:

  $busca="";
$busca=isset($_GET['search']) ? $_GET['search'] : null ; 
   

con ese mismo código es que me lanza error, y no puedo colocar post porque se me complicaría mucho todo, hay alguna solución para esto?

PD: No se si esta sea la sección correcta para preguntar esto pero la verdad no vi ningún foro de seguridad en esta página..

[pateketrueke]

El problema se mitiga escapando apropiadamente los valores en tu consulta, un ejemplo sería mysql_real_escape_string(), dependiendo de la extensión de base de datos que uses puede variar esto.

y no puedo colocar post porque se me complicaría mucho todo

Da igual, mientras no escapes tus datos no importa el método, siempre será posible romper tus consultas.

Busca en el manual por la función más adecuada a lo que uses.

[byrong]

Iniciado por pateketrueke

El problema se mitiga escapando apropiadamente los valores en tu consulta, un ejemplo sería mysql_real_escape_string(), dependiendo de la extensión de base de datos que uses puede variar esto.



Da igual, mientras no escapes tus datos no importa el método, siempre será posible romper tus consultas.

Busca en el manual por la función más adecuada a lo que uses.

Listo, gracias por responder.
No tendrías alguna guía o algo parecido para la seguridad de una página?
También estuve leyendo que al usar más html, por ejemplo en una página que no tenga nada de php y mysql es menos probable que te la hackeen, pero bueno, quisiera aprender un poco mas de este tema.

Saludos

[juancaalbarracin]

Si usas la extension mysql podras leer algo en:
manual de mysql-real-escape-string

Con todo recuerda que esta extensión fue declarada obsoleta en PHP 5.5.0 por lo cual deberás cambiar a la extensión mysqli

[byrong]

Iniciado por juancaalbarracin

Si usas la extension mysql podras leer algo en:
manual de mysql-real-escape-string

Con todo recuerda que esta extensión fue declarada obsoleta en PHP 5.5.0 por lo cual deberás cambiar a la extensión mysqli

Al colocar esa extensión me sale:

Código PHP:

  mysqli_real_escape_string() expects exactly 2 parameters, 
   

Cual es el problema con que use mysql?

[NueveReinas]

Iniciado por byrong

Al colocar esa extensión me sale:

Código PHP:

  mysqli_real_escape_string() expects exactly 2 parameters, 
   

Cual es el problema con que use mysql?

MySQLi necesita que añadas primero la conexión al comienzo del uso de la función.

Código PHP:

$foo = mysqli_real_escape_string($conexion, $foo);
 

[juancaalbarracin]

Iniciado por byrong

Cual es el problema con que use mysql?

Al momento quiza no tengas problema si utilizas mysql pero recuerda que es una extension obsoleta lo que significa que cuando se actualice php en tu webserver dejara de funcionarte toda tu interaccion con la base de datos.

Puedes usar mysql (por el momento) pero es siempre recomendable que se migre ya a una nueva extensión sea este mysqli o PDO, si estas ambientado a trabajar con mysql siempre sera mas facil pasarse a mysqli