Dica Entendendo de vez o SQL Injection [2] - Nickguitar.dll

[Nickguitar.dll]

Bom, esse post aqui vai ser menor...

Para resolver a falha SQL Injection é MUITO simples...

Voce definiu a variavel $login como $_POST['login'], certo.

Mas agora vamos criar uma função anti_sqli ?

function anti_sqli($sqli){ 
 
$naopode = array('INSERT', 'insert', 'DROP', 'drop', 'SELECT', 'select', "'", ' or ', ' OR ', '--', 'WHERE', 'where'); 
 
$sqli = str_replace($naopode, '', $sqli); 
$sqli = trim($sqli); 
$sqli = strip_tags($sqli); 
$sqli = addslashes($sqli); 
$sqli = mysql_real_escape_string($sqli); 
 
return $sqli; 
}  

Legal, mas o que fazemos com isso ? Isso :

$login = anti_sqli($_POST['login']);  

O que isso faz ? Faz com que os dados passados via post pelo input login sejan tratados pela nossa função..

Mas o que a função faz ?

$naopode = array('INSERT', 'insert', 'DROP', 'drop', 'SELECT', 'select', "'", ' or ', ' OR ', '--', 'WHERE', 'where');  

Aqui nós fizemos um array com os comandos SQL que nao podem ser digitados no login e senha.

$sqli = str_replace($naopode, '', $sqli); 
$sqli = trim($sqli); 
$sqli = strip_tags($sqli); 
$sqli = addslashes($sqli); 
$sqli = mysql_real_escape_string($sqli);  

Aqui nós usamos a função str_replace(), que substitue alguma coisa por outra coisa em alguma variavel, no caso substituiremos os dados do array por nada, na variavel $sqli.

Na linha de baixo temos a função trim(), que remove os espaços.. Em seguida temos a função strip_tags(), que remove as tags html e javascript.
Em baixo temos o addslashes(), que adiciona uma barra invertida depois de cada aspa. E para completar temos o mysql_real_escape_string(), que é uma função feita especialmente para isso, que não 'interpreta' os comandos SQL passados..

Basicamente é isso, é facil resolver essa falha que tem sido bastante explorada nos ultimos meses..

Tópico feito por Nickguitar.dll, se copiar, deixe os créditos por favor..

Até mais (=

[Valentine]

Não gostei, nem da parte um nem da dois.

[Nickguitar.dll]

Não gostei, nem da parte um nem da dois.

Radical...

[pradevill]

A se eu tivesse um topico como esse no inicio quanto comecei a programar php, teria evitado muita dor de cabeça...