Anti sql inject

[Tavicu]

Am cautat azi pe net un script care sa te protejeze inpotriva sql inject si m-am gandit sa postez si aici pentru ca poate aveti si voi probleme sau poate chiar va intereseaza

In primul rand avem pagina unde este input-ul care arata ceva de genu:

    <form method="post" action="test.php"> 
    <input type="text" name="search" /> 
    <input type="submit" value="ok" /> 
    </form>

Al 2-lea fisier se numeste test.php care contine urmatorul script:

function anti_injection( $search ) 
{ 


    $banlist = array 
        ( 
        "insert", "select", "update", "delete", "distinct", "having", "truncate", "replace", 
        "handler", "like", "as", "or", "procedure", "limit", "order by", "group by", "asc", "desc" 
        ); 

    if ( eregi ( "[a-zA-Z0-9]+", $search ) ) 
    { 
        $user = trim ( str_replace ( $banlist, '', strtolower ( $search ) ) ); 
    } 
    else 
    { 
        $user = NULL; 
    } 


    $array = array ( 'search' => $search ); 

    if ( in_array ( NULL, $array ) ) 
    { 
        die ( 'Hacking attempt. Go play someplace else, you script kiddie.' ); 
    } 
   else 
    { 
        return $_POST['search']; 
    } 
} 





print anti_injection ( $_POST['search'] );

Repet ...scriptul nu este facut de catre mine ci doar modificat


sper sa va fie de folos

[tudalex]

Misto scriptul ma gandeam sa imi scriu si eu unu. Desi cred ca ar fi prudent sa banezi si restu functiilor MSSQL (sau MySQL daca e folosit). Si totusi consider necesar ca dupa ce faci toate astea sa mai adaugi si mysql_escape_string() pe variabila returanata. Cel putin asa vei fi sigur ca nici un sql injection nu e posibil.

[Niku]

Si daca ai formularul de search la un site de programare, unde 100% userii trebuie sa caute despre insert, select, delete etc ce faci ?

Cred ca mysql_escape_string() isi face treaba bine, poate si o conditie sa citeasca numai litere si cifre .

[Tavicu]

În prealabil postat de Adm1nuL

Si daca ai formularul de search la un site de programare, unde 100% userii trebuie sa caute despre insert, select, delete etc ce faci ?

Cred ca mysql_escape_string() isi face treaba bine, poate si o conditie sa citeasca numai litere si cifre .

asta e ce gasisem si eu pe net la vremea aia ...

[Niku]

Eh nu m-am mai uitat la data la care ai postat tu )))

[paul alexandru]

si eu m-am uitat

[skreach]

Cand o sa ajung la birou o sa va dau o functie pentru anti-sql injection, e destul de simpla.

[skreach]

function sql($sql) {
   $sql = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|#|\*|--|\\\\)/"),"",$sql);
   $sql = trim($sql);
   $sql = strip_tags($sql);
   $sql = addslashes($sql);
   return $sql;
}

Exemplu:

sql($_POST['variabila']);