sql injection yememem için

kerim2155 · #1 (**permalink**) 20-06-2007, 22:13:23

sql injection yememem için
yani hacklenmemem için bir php scripti yazarken nelere dikkat etmeliyim
Bunlar hakkkında bilgi verirseniz sevinirim

~~smavi~~ · #2 (**permalink**) 20-06-2007, 22:41:00

uye girişleri , admin paneli ve cookieleri kontrol et ozellikle.yazarken dikkat admine şifreyle giriş yapıcaksan.

**redbaron** · #3 (**permalink**) 20-06-2007, 22:45:23

burdan ayrıntılı inceleyebilirsin ferruh mavitunanın sql injection saldırıyla ilgili bir çok yazısı sitesinde mevcut
SQL Injection - UNION ile Data Okuma
SQL Injection Derslerine Giriş

kerim2155 · #4 (**permalink**) 20-06-2007, 23:34:29

Alıntı:

redbaron´isimli üyeden Alıntı

burdan ayrıntılı inceleyebilirsin ferruh mavitunanın sql injection saldırıyla ilgili bir çok yazısı sitesinde mevcut
SQL Injection - UNION ile Data Okuma
SQL Injection Derslerine Giriş

bu daha çok asp ile örnek vermiş bana php lazım
teşekkürler

OnurSQL · #5 (**permalink**) 20-06-2007, 23:46:10

üyelik sistemlerinde session kullan, sistem hack edilse dahi kendi ve üyelerinin güvenliği için şifrelerin md5 halini veritabanına ekle.

get veya post ile veri alırken ilk başta addslashes ile sonrada mysql_escape_string ile kontrol et.

siteadresi.com/x.php?id=1 şeklinde sadece idye göre veri okuyorsan, sql sorgusunun içine atmadan önce

PHP Kodu:

  is_int()
is_numeric()

yukarıdaki fonksiyonlar x.php?id=1 mevzusunda id ile gelen değerin numerik olup olmadığını kontrol edebilirsin. hekır amcalar,

http://www.siteadi.com/x.php?id=1; INSERT INTO yonetici ( kullaniciadi, sifre, seviye) VALUES ('hekir',’hekirsifre‘, '1')

böyle bir sql sorgusu yolladığında is_numeric fonksiyonu gelen verinin integer/string olduğuna bakmaz sadece numerik olduğuna bakar.

PHP Kodu:

  if (!isnumeric($POST['id']) { 
    echo "hop evladım";
// isteğe bağlı buraya exit(); meta yönlendirme konulabilir.
}

ben bu yöntemleri kullanıyorum, hüso mahlas ozinga daha iyi bilir bu mevzuları

#6 (**permalink**) 20-06-2007, 23:56:19

PHP: mysql_real_escape_string - Manual
php.net/int
php.net/addslashes
php.net/htmlspecialchars

kerim2155 · #7 (**permalink**) 21-06-2007, 00:01:49

şimdi deneme amaçlı bir script yazıyorum
şöyle bir kod kullandım

<?php
$sor = mysql_query("SELECT id,ad,kid FROM gazete WHERE kid='1' ORDER BY id ASC");
while($yaz=mysql_fetch_array($sor)){
$ad = $yaz["ad"];
$id = $yaz["id"];
echo "<a href='oku.php?id=$id'>$ad</a><br>";
}
?>

bunu nasıl sql injection yemeyecek hale getirebilirim
bu kodu düzenlerseniz çok sevinirim
çok teşekkürler

#8 (**permalink**) 21-06-2007, 00:06:11

burda sql e giren bişi yokki inject yesin

kerim2155 · #9 (**permalink**) 21-06-2007, 00:09:43

nasıl yani sadece kayıtta mı oluyor bu

bende her ikisinde de oluyor zannettim pardon

acemilik işte

**ErsaT** · #10 (**permalink**) 21-06-2007, 00:09:58

PHP Kodu:

  <?php

$kid = htmlspecialchars(strip_tags(mysql_escape_string(intval($_GET['kid']))));

$sor = mysql_query("SELECT id,ad,kid FROM gazete WHERE kid=$id ORDER BY id");

while($yaz=mysql_fetch_array($sor)){

$ad = $yaz["ad"];

$id = $yaz["id"];

echo "<a href='oku.php?id=$id'>$ad</a><br>";

}

?>

Senin yazdığın hali ile SQL Injection yemez çünkü değişkeni dışarıdan almıyorsun direkt yazmışsın 1 diye. GET veya POST ile alıyorsan SQL Injection olur. Eğer GET ile alıyorsan yukarıdaki gibi kullanabilirsin

Alıntı:

$kid = htmlspecialchars(strip_tags(mysql_escape_string(in tval($_GET['kid']))));

Okuduğunuz Konuya Benzer Konular
Konu	Konuyu Açan	Forum	Cevaplar	Son Mesaj
Knight Online -Karakter Yapılandırma Rehberi	INfOCUS	Oyun Dünyası	36	01-10-2008 01:40:34
Google 'ı Öğreniyoruz...	MyMooN	Google Optimizasyon	12	20-06-2008 16:10:11
Videolara Yazı Eklemek	izmirli_	Webmaster Programları	32	03-06-2008 13:07:05
SQL Injection Engellemek	misoskian	Database	1	29-04-2007 17:21:54
Günlük 1800 tekil + pr4 , 5500 tekil , 4000 tekil , pr4 , pr5 sitelerden	erhangl	Reklam alımı Reklam satışı	0	17-04-2007 10:05:40

Konuyu Toplam 1 üye okuyor. (0 Kayıtlı üye ve 1 Misafir)

Konu Seçenekleri
Yazdırılabilir Sümü Göster Sayfayı E-Mail'le gönder