Есть ли дыры в скрипте

Dagdamor
а "--"?
или /*

надо юзать то, что предоставляет интерфейс самой базы, а не юзать самопал. не имхо

 

могут. settings-dependent

 

Dagdamor
во-во! Начнем с того, хотя бы, что для использования mysql_escape_string нужно уже установить соединение с базой. Да и писать название этой функции дольше .

Klin, если уж так хочешь, раскомментируй тут mysql_real_escape_string и закомментируй addslashes.

 

antonn
Внутри строки?

Горбунов Олег
Пример инъекции, обходящей addslashes(), в студию.

 

Dagdamor
строка - набор символов.
от юзера пришли данные в виде строки, в ней может быть все что угодно. эти данные используются в запросе (ну например логин осуществляется). не понимаю удивления

 

antonn
Раз не понимаешь, тогда тот же вопрос, что и к Олегу. Приведи пример работающей SQL-инъекции для данных, обработанных addslashes() перед подстановкой в запрос:

PHP:

1. <?php
2.  
3. $string="Что угодно"; // Здесь можете написать все, что хотите
4. $escaped=addslashes($string);
5. $query="SELECT * FROM mytable WHERE strfield='$escaped'";
6. mysql_query($query); // Здесь должна быть инъекция

 

Код (Text):

1. $user_val="0 UPDATE fusion_users SET user_level=100 WHERE user_id=1--";
2. $user_val=addslashes($user_val);
3. $text="SELECT * FROM users WHERE user_id=$user_val and user_level=101";
4.  
5. echo $text;

?

 

antonn
А обрамлять одинарными кавычками переменную кто будет? Смотри мой шаблон внимательнее.
Подставлять переменную в запрос НЕ в контексте строки, без предварительного жесткого приведения к целочисленному или плавающему типу - самоубийство. Тут тебя никакой mysql_real_escape_string не спасет.

 

когда появится набор символов означающий нечто непредвиденное сейчас - кто с addslashes будет впухать?

ЗЫ я запостил когда твоего поста не видел.

 

antonn
Если такое случится - mysql_real_escape_string нагнется с тем же успехом, ведь эта функция не приводит к дополнительному запросу к SQL серверу, она, как и addslashes, отрабатывает локально, в контексте процесса PHP, и о будущих изменениях в парсере MySQL она знать никак не может.
Да и сомневаюсь я, что парсер запросов будут менять на таком низком уровне, на уровне парсинга строк. Такую поломку BC можно только спьяну устроить...

 

может, ибо завязана на libmysql.dll, который, должен братся от установленной версии Мускула, если вебсервер корректно настроен.

 

Для китайцев

PHP:

1. <?php
2. $str = "\xbf\x27 OR 1=1 LIMIT 10/*";
3.  
4. mysql_connect('localhost', 'root', '');
5. mysql_select_db('test');
6.  
7. mysql_query('SET NAMES \'GBK\'');
8. $query = 'SELECT * FROM items WHERE item_id=\'' . addslashes($str) . '\'';
9.  
10. $res = mysql_query($query) or die(mysql_error());
11.  
12. while ($row = mysql_fetch_assoc($res)) {
13.     print_r($row);
14. }

Сам факт этой ошибки хоть на китайской кодировке уже против этой функции.

 

есть ещё и XSS кстати

 

Просто ты избавишся сразу от 2 атак, SQL инекции и XSS

 

Ну да. От XSS в SQL запросе %)

 

Ыы понял что сморозил глупость =)))
ну и что, вдруг бы там было INSERT INTO