Evita un Sql Inyeccion o Blind Sql Inyeccion facil

Dédalo · 06-Apr-2009, 19:32

bueno pues digamos que tenemos el tipico caso digamos en este caso:

Cita:

Dedicated Server Hosting | VPS | Domains | Webhosting | Private Racks by LeaseWeb

Bueno ahora digamos que esa web es vulnerable a Sql inyeccion Y/O Blind Sql Inyeccion

un codigo corto nomas pa la explicacion....

Código PHP:


			
$bug = $_GET['user'];
---
$bugs = "SELECT * FROM login WHERE id=$bug";

Bueno como ven el codigo de arriba tiene dos vulnerabilidades ahora vamos a corregir el codigo de tal manera quue hasta evites una Blind Sql Inyeccion =)

Código PHP:


			
$user = (int)$_GET['user'];
---
$code = "SELECT Usuario FROM login WHERE id=$user";

bueno ahora hemos corregido la Blind Sql Inyeccion y Sql inyeccion; hemos agregado (int) eso quiere decir que la url despues de id= solNumeros...

un ejemplo sidno vulnerable:

Cita:

Dedicated Server Hosting | VPS | Domains | Webhosting | Private Racks by LeaseWeb...

ahi simplemente la podria atacar =) pero ahora con este filtro podremos hacer algo mejor =) ahora no aceptara caracteres que no sean numeros es decir que cuando pongamos:

Cita:

union o select o order by o from o cualquiera de las otras

ya no funcionaran =) entonces no podran Defacearlos por ese lado =)

Espero les haya agradado y servido =) proteccion ante todo =) siempre me lo dijo mi papá xD y ahora lo digo yo jaja

Saludos
Dedalo (Dédalo)

tuto by Dedalo....

ciberemperador · 15-Apr-2009, 16:09

muy bien dedalo muy interesante sobretodo para mi buen aporte salu2 ia nos vemos

talcual · 15-Apr-2009, 16:31

yo recomiendo hacer esto

Código:

$bug = " ' ".$_GET['user']." ' ";
---
$bugs = "SELECT * FROM login WHERE id=".$bug;

siempre me ha funcionado bien :-D

Dédalo · 17-Apr-2009, 09:45

talcual ese codigo si es vulnerable hay exploits que pasan ese tipo de cosas

pero igual no esta malo el code =)

@ciberemperador: gracias =)

Saludos
Dedalo(dédalo)

Nitrokill · 11-May-2009, 19:55

muy buena tu aportacion Dédalo sigue asi!

ahi nos vemos
Nitrokill

Dédalo · 11-May-2009, 19:59

muchas garcias brother =) se te agradece mm ahi nos vemos =)

Saludos
Dedalo(Dédalo)