SQL Injection Protección - comillas simples

Question

Duplicar posibles:
Best way to prevent SQL injection in PHP?

he estado haciendo un poco de pruebas para proteger a mis sitios de la inyección de SQL. Veo que hay un par de maneras de hacerlo, escapando de mis entradas de usuario, agregando barras, o mejor aún usando declaraciones SQL parametrizadas.

Tenía este código de prueba ..

$q=$_GET["q"]; 
$game = mysql_query("SELECT * FROM `Games` WHERE `id` = '$q'"); 
$game = mysql_fetch_array($game); 

echo "<h4>ID: ".$game[0]."<br /></h4>name: " . $game[1]; 

Y he intentado varias solicitudes SQLi y no pude conseguir mi página de prueba a error, o mostrar todos los datos adicionales.

Pero cuando he cambiado de código SQL para esto (Eliminado las comillas simples alrededor de $ q) ..

$game = mysql_query("SELECT * FROM `Games` WHERE `id` = $q"); 

pude realizar de SQLi simples y obtener algunos resultados.

¿Tan solo está envolviendo mis entradas de usuario en comillas simples lo suficientemente buenas? ¿O he visto más complejas técnicas de SQLi?

Answer 1

Trate de esta entrada:

abc' OR id <> ' 

que dará lugar a siguiente declaración:

"SELECT * FROM `Games` WHERE `id` = 'abc' OR id <> ''" 

que devolvería todos los juegos en lugar de sólo una. Si su página permite mostrar el resultado completo, entonces definitivamente veríamos demasiado ...

La salida es usar PDO con declaraciones preparadas, es por lo menos la función mysqli_real_escape_string() antes de insertar la entrada del usuario en la declaración SQL .

SQL-Injection puede hacer mucho más, en el peor de los casos, incluso puede obtener el control del servidor.Eche un vistazo a este SQL Injection Cheat Sheet

Answer 2

se debe utilizar mysql_real_escape_string() función

En este caso, usted tiene que utilizar las comillas simples

$game = mysql_query("SELECT * FROM `Games` WHERE `id` = '$q'"); 

deje de entrada Supongamos que el usuario es 1' que la salida escape_string será 1\'

si está no utilizando comillas que la consulta será

SELECT * FROM `Games` WHERE `id` = 1' 

//that is wrong or a injection 

Pero en el caso único cotizaciones

SELECT * FROM `Games` WHERE `id` = '1\'' 

que es bueno y se puede quitar el sql-injection

Answer 3

Usted está mencionando inyección SQL y instrucciones con parámetros, pero no parece estar al otro lado DOP? - Uso DOP http://www.php.net/manual/en/pdo.prepare.php