Ataki na strone www - zabezpieczenia

Question

Witajcie skrypciarze,

 

Metoda SQL injection polega na dodaniu do loginu komentarza. Tak więc atak wygląda tak:

SELECT * FROM users WHERE nick='$nick' AND password='$password'

Po dodaniu komentarza

SELECT * FROM users WHERE nick='$nick' /*' AND password='$password'

Jakie są sposoby zabezpieczenia skryptu? Czy taka forma jest bezpieczna?

<?php
if(empty($nick) OR empty($password))
{
header("Location: http://google.pl");
}
else
{
//Zapytanie
}
?>

Wiem też o funkcjach typu addslashes czy jakoś tak, ale jestem ciekaw waszych opinii i waszych sposobów obrony przed tego typu atakami.

Comments

Jeśli na serio interesujesz się bezpieczeństwem witryn i aplikacji internetowych to polecam:

1. PHP i HTML. Tworzenie dynamicznych stron WWW Rozdział 4.9
2. PHP. Zaawansowane programowanie Rozdział 11

 

---

Dzięki, przyda się. Obecnie interesuje się ogólnie bezpieczeństwem zarówno witryn jak i programów.

Answer 1

Bindowanie parametrów w PDO. LINK

Answer 2

Nie jest. Przecież to co podałeś sprawdza czy dana zmienna jest pusta i tylko tyle, jaki to może mieć wpływ na bezpieczeństwo?

Najlepszym zabezpieczeniem przez sql injection jest PDO i bindowanie.

https://pl.wikibooks.org/wiki/PHP/Biblioteka_PDO