Zabezpieczanie kodu przed wstrykiwaniem sql

pytanie zadane 25 maja 2016 w PHP przez Kacper Duda Obywatel (1,970 p.)

Witam

Mam pytanie, czy poniższy kod może całkowicie unieszkodliwić włamanie przez wstrzykiwanie sql?
Jak są jakieś błędy ortograficzne to proszę nie zwarzać uwagi :)

$text = str_replace("'", "&#39;", $text);
$text = str_replace('"',"&#34;", $text);

$bla = $polaczenie->query("SELECT * FROM uzytkownicy WHERE user='$text'");

komentarz 25 maja 2016 przez efiku Szeryf (75,160 p.)

Patrz co podesłał Comandeer.

3 odpowiedzi

odpowiedź 25 maja 2016 przez Comandeer Guru (607,960 p.)

odpowiedź 25 maja 2016 przez Paweł Chyła Użytkownik (560 p.)

Podępne się pod pytanie kolegi, żeby nie tworzyć kolejnego tematu na forum. Przeglądałem link podesłany przez Comandeera i tam zmienne są przekazywane w funkcji execute w postaci tablicy. Moje pytanie brzmi czy bindowanie zmienych przez bindParam też jest poprawne, czy tylko używać bindowania w execute ??

2	komentarz 25 maja 2016 przez efiku Szeryf (75,160 p.) W execute każdy parametr domyślnie traktowany jest jako PDO::PARAM_STR.

odpowiedź 25 maja 2016 przez CzikaCarry Szeryf (75,340 p.)

Lepiej użyj Htmlentities i stałej ENT_QUOTES

komentarz 25 maja 2016 przez Comandeer Guru (607,960 p.)

A jak to niby zabezpiecza przed SQLi?

komentarz 25 maja 2016 przez CzikaCarry Szeryf (75,340 p.)

Zamienia np. myślniki i cudzysłowia na ciągi innych znaków które nie są elementami składni mysql https://www.w3.org/wiki/Common_HTML_entities_used_for_typography

komentarz 25 maja 2016 przez Comandeer Guru (607,960 p.)

Ok, to teraz szybki przykład SQLi na Twój sposób.

Baza danych:

CREATE TABLE `test` (
  `test` int(11) NOT NULL,
  `test2` int(11) NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

INSERT INTO `test` (`test`, `test2`) VALUES
(1, 0),
(2, 0),
(3, 0),
(4, 0),
(5, 0);

Kod PHP:

<?php
$test = htmlentities( '\\', ENT_QUOTES );
$test2 = htmlentities( ' OR 1=1 #', ENT_QUOTES );

var_dump($esc);
$db = new mysqli('localhost', 'root', '', 'test');
$s = "SELECT * FROM test WHERE test = '" . $test . "' AND test2 = '" . $test2. "'";
var_dump( $s );
$q = $db->query( $s );

while( $r = $q->fetch_assoc() ) {
	var_dump( $r );
}

Wniosek: o kant stołu se można potłuc to całe htmlentities.