Sobre injection sql en formulario

[choco_cu]

Hola mi gente tal vez este no sea el foro para esta pregunta pero igual quisiera saber si para evitar la injeccion de codigo malicioso desde un campo txt de un sistema login no es mejor encriptar el password con md5 y comparar lo que se registro la primera vez con lo que se esta introduciendo para evitar que le sumen las sentencias como OR 1=1 y cosas asi que son las que permiten que hayan fallos y dan la posibilidad de ingreso a los usuarion maliciosos.

Saludos,
Manuel.

[Hidek1]

mm si es mejor ... era esa la pregunta ?

[Ryo]

Por más que cifres la contraseña (algo recomendable, pero por otros motivos) las inyecciones SQL pueden darse. Para evitarlas usa la función mysql_real_escape_string antes de enviar la sentencia SQL.

[Hidek1]

Por más que cifres la contraseña (algo recomendable, pero por otros motivos) las inyecciones SQL pueden darse. Para evitarlas usa la función mysql_real_escape_string antes de enviar la sentencia SQL.

y si haces esto (?)

Código PHP:

$password = md5($_POST["password"]);
$usuario = md5($_POST["usuario"]);
$consulta = "SELECT password FROM usuarios WHERE md5(username) = $usuario";
// condicion.. si solo hay 1 respuesta
// bla bla
if($row["password"] == $password){
// mas bla bla
 

como injectarias ese metodo (?)

[Ryo]

No veo vulnerabilidades ahí, pero va más allá de cifrar la contraseña y es más incómodo que simplemente usar mysql_real_escape_string... Sobre todo si se hace bien y el uso de la función queda dentro de una función de nivel más abstracto ;)

[Hidek1]

lo se y concuerdo contigo =) solo lo dije por que tu escribiste que las inyecciones sql podían darse a pesar de todo el cifrado q pudiera dar...

obiamente es mas efectivo solo pasar todos los datos por un filtro de escape asi no tienes que hacer consultas complicadas en cada apartado de tu web donde se ingresen datos.. y tambien es un alivio para el servidor sql =)

[choco_cu]

o sea lo que me sugieren para asegurar la consulta es que use esta funcion y a su vez reduzco el nivel de consumo de recursos del servidor es a eso a lo que se refieren???.