Katkatbet
Yeni Üye
- Katılım
- 24 Ara 2020
- Mesajlar
- 26
- Beğeniler
- 0
- Puanları
- 1
SQL Injection saldırıları ile neredeyse herkesin başı dertte büyük sistemler SQL Injection ile çok kolay anasını ağlatabilmektedirler bende bir nebzede olsa kabak gibi duran SQL Injection saldırısını önlemeyi anlatacağim.
Örnek olarak bir sorgu alalım ben projelerimde kullandıgım değerlerden örnek vericem
$_POST'a gelen değerler çok önemlidir çünki mysqldeki değerler ile karşilaştirilacaktir..
Böyle birşey kullanmak tamamen bir hatadır çünki SQL Injection yapacak arkadaşin ` işareti olusturmasina gerek
bırakmadiniz böylece SQL ınjection saldırıları ile USER ve PASSWORD
bilgileriniz SQLden çekilebilir bunu önlemek ise basittir
böyle yapildiği taktirde SQL açiği oluşması için `gerekliliğini belirttik..` önlemek için $_POST a bunları yapmak yeterli olcaktir.
ysql_query de id sifre karşilaştirmasini böyle yaparsak arkadaşın ` işareti olusturması kosulunu koruz daha sonra mysql_real_escape_string fonksiyonu kullandiğimiz için arkadaş ne zaman ` oluşturmaya kalksa babayı alıcaktir :hmmm:
Umarım kendimi ifade edebilmişimdir.
Konu ile ilgili sorulara herzaman açığım.
Saygılarımla..
Örnek olarak bir sorgu alalım ben projelerimde kullandıgım değerlerden örnek vericem
$_POST'a gelen değerler çok önemlidir çünki mysqldeki değerler ile karşilaştirilacaktir..
PHP:
$sifre=$_POST['sifre']);
$sifre=mysql_query("select * from yonetici where `id`='$sifre'");
mysql_num_rows($kontrolet)Böyle birşey kullanmak tamamen bir hatadır çünki SQL Injection yapacak arkadaşin ` işareti olusturmasina gerek
bırakmadiniz böylece SQL ınjection saldırıları ile USER ve PASSWORD
bilgileriniz SQLden çekilebilir bunu önlemek ise basittir
PHP:
$sifre=$_POST['sifre']);
$sifre=mysql_query("select * from yonetici where id='$sifre'");
mysql_num_rows($kontrolet)böyle yapildiği taktirde SQL açiği oluşması için `gerekliliğini belirttik..` önlemek için $_POST a bunları yapmak yeterli olcaktir.
PHP:
$sifre=mysql_real_escape_string(htmlspecialchars($_POST['sifre']));
$sifre=mysql_query("select * from yonetici where id='$sifre'");
mysql_num_rows($kontrolet)ysql_query de id sifre karşilaştirmasini böyle yaparsak arkadaşın ` işareti olusturması kosulunu koruz daha sonra mysql_real_escape_string fonksiyonu kullandiğimiz için arkadaş ne zaman ` oluşturmaya kalksa babayı alıcaktir :hmmm:
PHP:
$id = $_GET["id"];
// get id yi sayı olarak farz edelim
if (is_numeric($id)){ // $id değişkeni sayı ise birşey yapma
}
else { //değilse Anti SQL Inection yazdır ekrana
echo "Anti SQL Injection";
}Umarım kendimi ifade edebilmişimdir.
Konu ile ilgili sorulara herzaman açığım.
Saygılarımla..
Son düzenleme: