Sql İnjection Acıgı Nasıl Kapatılır?

https://www.r10.net/php/255784-sql-xs...n-korunma.html

loverzsoft o verdiğiniz phpnuke nin içinden bir bölüt genel itibariyle işe yarar fakat orada genelde xss açıkları için geçiyor sql injeksiyon için
int-intval-is_numeric
intval(x)>0 , addslashes ve genel olarak ta işlem yapmak gerekilirse mysql_real_escape_string kullanılabilir union, join ,left ,join , and or && || ile yapılabilecek saldırılara karşıda tüm get post request süper değişkenleri den str_replace ile bu kodlar temizlenebilir veya bu preg_match , eregi ile arama yaptırıp var ise
die exit ile scriptin çalışması durduralabilir stristr da kullanabilirsiniz ama regexp değil düz string için tarama yapar en iyisi eregi yapmak i ile insensivite yani OR or Or oR gibi deyimlerini hepsini birden anlayıp scriptin çalışmasını durdurabilirsiniz

Bence biraz fazla abartılıyor...

SELECT * FROM tablo WHERE id='intval($a)' and alan='addslashes($b)'
INSERT INTO tabloe ('alan1', 'alan2', 'alan3') VALUES('addslashes($a)', 'addslashes($b)')

Bu gibi sorguların neresinde açık olabilir ? Bu tür sorgularda addslashes işinizi fazlasıyla görür...

Bir örnek verebilirmisiniz sql injection açığına ?

Scriptlerinizi Sql injectiona karşı koruyun. - Script Center

Hocam tamam da. Addslashes işimizi fazlasıyla görüyor. Ama yinede herkes başka yöntemler sunuyor bunlara anlam veremedim.
Ya hiç kimse injection örneği görmemiş yada herkes eline geçeni buraya koyuyor !

Kaçış karakterinden vs haberiniz vardır.


SQL Injection: kurtulacaz, el atın! - Ceviz Forum

Konuyu iyi takip edip sindirin derim ben size.


Ek: https://www.r10.net/php/61255-sql-inj...emem-icin.html

Demek ki neymiş, aramaya inanıp niyet etmek lazımmış...

Tekrar yazıyorum, kısa ve ÖZ

<?
echo addslashes($_GET['abc']);
?>

Eğer hala sql injectiondan korunmak için bişiler arıyorsanız, hiç bir şey demiyorum.

Hocam nasıl edilebilir ki ?

", ', \ karakterlerini escape ediyor.

Eğer bunun escape edildiğini bilen varsa ve söylerse sevinirim

\ karakteri ne anlama geliyor? Kaçış karakterlerine dikkat edin demiştim yukarıda.
Verdiğim linklerdeki makalelere bakarsanız (ve araştırırsanız) sql cümleciklerinin kaçış karakterleri ile atlatıldığını farkedebilirsiniz.