Seguridad en los Querys

[morfasto]

Hola, que tal?

Estoy viendo la parte de la seguridad de mi pagina web, especificamente en la parte de los querys. Estuve leyendo sobre el tema y me parecio bastante interesante, pero sigo sin entender la manera de aplicarlo y el orden de aplicarlo.

Se que seria bueno utilizar varias funciones para acomodar los textos a introducir a la base de datos, para que no sean malignos y que no puedan obtener informacion para acceder con todos los privilegios a la base de datos.

Estas son algunas funciones que encontre que podrian servirme:
mysql_real_escape_string();
stripslashes();
get_magic_quotes_gpc();

Pero, en que momento debo de usarlas, cuando hago una consulta a la base de datos?, cuando hago un update a un registro de la base de datos?, cuando ingreso un registro a la base de datos?

Voy a poner un ejemplo de codigo que yo tengo para hacer una consulta, un update y un ingreso de registro nuevo.

Código PHP:

  <?
//INGRESAR UN NUEVO REGISTRO:
$password = md5($_POST['password']);
$foto="IMG/cliente.png";
$registrar="INSERT INTO clientes (cliente_id, nombre, apellido, email, password, foto)
VALUES
('','$_POST[nombre]','$_POST[apellido]','$_POST[email]','$password','$foto')";
if (!mysql_query($registrar))
{
    die('Error: ' . mysql_error());
}
 
//CONSULTA:
(isset ($_GET['id']))? $id = $_GET['id'] : $id = NULL;  
$foto = "SELECT foto FROM clientes WHERE cliente_id = '$id'";
$foto = mysql_query($foto); 
while($rs=mysql_fetch_array($foto)) 
{ 
    echo      "<img src='".$rs['foto']."'>";
} 
 
//UPDATE DE UN REGISTRO:
$update="UPDATE clientes SET nombre = '$_POST[nombre]', apellido = '$_POST[apellido]', email = '$_POST[email]' where cliente_id =  '$_SESSION[cliente]'";
if (!mysql_query($update))
{
    die('Error: ' . mysql_error());
}
?>   

De que manera necesito modificar mis querys para que dejen de ser inseguros?

Muchisimas gracias!

[GatorV]

La regla es simple: nunca confies en el contenido que te envia el usuario, nunca. Cada que vayas a enviar una variable a la base de datos debes de escaparla y asegurarte que el tipo de dato que quieras enviar sea ese, si va a ser un número, haz un cast a un integer, si es una cadena de texto, escapala con mysql_real_escape_string, etc.

No es cuestión de cuando hagas un INSERT, si no es siempre que hagas una consulta a tu BDD.

Saludos.

[morfasto]

Entonces si yo cambio mi codigo a esto:

Código PHP:

  <?
//INGRESAR UN NUEVO REGISTRO:
$password=mysql_real_escape_string($_POST['password']);
$password=md5($password);
$foto="IMG/cliente.png";
$nombre=mysql_real_escape_string($_POST['nombre']);
$apellido=mysql_real_escape_string($_POST['apellido']);
$email=mysql_real_escape_string($_POST['email']);
$registrar="INSERT INTO clientes (cliente_id, nombre, apellido, email, password, foto)
VALUES
('','$nombre','$apellido','$email','$password','$foto')";
if (!mysql_query($registrar))
{
    die('Error: ' . mysql_error());
}
 
//CONSULTA:
(isset ($_GET['id']))? $id = $_GET['id'] : $id = NULL;
 
$foto = "SELECT foto FROM clientes WHERE cliente_id = '$id'";
$foto = mysql_query($foto); 
while($rs=mysql_fetch_array($foto)) 
{ 
    echo      "<img src='".$rs['foto']."'>";
} 
 
//UPDATE DE UN REGISTRO:
$nombre=mysql_real_escape_string($_POST['nombre']);
$apellido=mysql_real_escape_string($_POST['apellido']);
$email=mysql_real_escape_string($_POST['email']);
$update="UPDATE clientes SET nombre = '$nombre', apellido = '$apellido', email = '$email' where cliente_id =  '$_SESSION[cliente]'";
if (!mysql_query($update))
{
    die('Error: ' . mysql_error());
}
?>   

Estaria mas seguro?

La verdad es que no entiendo bien como es que funciona real_scape_string() a pesar de haber leido el manual, alguien me podria explicar?

[GatorV]

Así es, debes de escapar las variables que vayas a enviar a la base de datos, y para más seguridad se recomienda usar PDO, ya que puedes usar preparedstatements los cuales te dan más seguridad y más velocidad a la hora de interactuar con tu bdd.

Saludos.

[morfasto]

Estuve intentando hacer que funcione con preparedstatements pero no logro hacerlo...

Este es mi codigo:

Código PHP:

  <?
//CONECTAR CON LA BASE DE DATOS
function conectarse($host,$usuario,$password,$BBDD){ 
   $link=mysql_connect($host,$usuario,$password) or die (mysql_error()); 
   mysql_select_db($BBDD,$link) or die (mysql_error()); 
   return $link; 
} 
$link=conectarse("localhost","usuario","password","base_datos");  
 
//INGRESAR UN NUEVO REGISTRO:
$stmt = $dbh->prepare("INSERT INTO clientes (nombre, apellido, email, password, foto) VALUES (?, ?, ? , ? , ?)");
$stmt->bindParam(1, $nombre);
$stmt->bindParam(2, $apellido);
$stmt->bindParam(3, $email);
$stmt->bindParam(4, $password);
$stmt->bindParam(5, $foto);
 
$password=mysql_real_escape_string($_POST['password']);
$password=md5($password);
$foto="IMG/cliente.png";
$nombre=mysql_real_escape_string($_POST['nombre']);
$apellido=mysql_real_escape_string($_POST['apellido']);
$email=mysql_real_escape_string($_POST['email']);
 
$stmt->execute();
?>   

Que estoy haciendo mal?

[GatorV]

Pues para empezar, tienes que usar PDO para conectarte a tu base de datos, en el código que expones usas la librería de MySQL.

Primero revisa y aprende la sintaxis de PDO y posteriormente intenta modificar tu código.

Saludos.

[Uncontroled_Duck]

Hola, aquí tienes algunos ejemplos para hacer la conexión con la DB.

http://www.php.net/manual/es/ref.pdo-mysql.php#103501

Saludos,