|
| |
|
|
| |
для: mihdan
(14.02.2008 в 10:55)
| | | вам не нужно
а взломщику всеравно что у вас int или char
вроде) | |
| |
|
|
| |
|
|
| |
для: moonfox
(14.02.2008 в 05:28)
| | | Зачем мне в запросе строка, когда поле типа integer? | |
| |
|
|
| |
|
|
| |
для: moonfox
(14.02.2008 в 05:28)
| | | Просто возьмите за правило никогда не подсовывать в запрос то, что пришло с инета. пропустите через какую то промежуточную функццию, и все лишние хвосты отвалятся или вызовут ошибку. | |
| |
|
|
| |
|
|
| |
для: а-я
(14.02.2008 в 04:26)
| | | а какая разница что будет добавленно в where id
текст или цифра - это всеравно строковое значение...
или нет?
в любом случае там нужна будет кавычка для обрыва запроса и подстановки union...
или? | |
| |
|
|
| |
|
|
| |
для: brys
(12.02.2008 в 18:51)
| | | а что вы думаете на счет функции ctype_digit()
можно ли на нее положиться?
<?
if(ctype_digit($_GET['id']))
echo 'ГУД!!!';
else
echo 'Не есть гуд!';
?>
|
| |
| |
|
|
| |
|
|
| |
для: bronenos
(13.02.2008 в 15:53)
| | | а мне вот нравится работать с stmt в mysqli
$stmt = $mysqli->stmt_init();
$stmt->bind_param('ssi',$string_var_1, $string_var_2, $integer);
$stmt->execute();
|
зачем на уровне PHP делать то, что можно переложить на БД, притом что она это умеет делать лучше? | |
| |
|
|
| |
|
|
| |
для: Freddie_X
(13.02.2008 в 15:24)
| | | Я и числа в кавычки беру, все пашет у меня везде | |
| |
|
|
| |
|
|
| |
для: Thrasher
(13.02.2008 в 14:33)
| | | Аааа, всё понял! Спасибо за разъяснение :) | |
| |
|
|
| |
|
|
| |
для: Freddie_X
(13.02.2008 в 13:45)
| | | Когда ожидается прием числовых данных, то:
и уязвимости нет. | |
| |
|
|
| |
|
|
| |
для: kasmanaft
(13.02.2008 в 13:30)
| | | Ну, если переданные запросу данные - строковые, то с этим понятно!
А если Числовые данные? Их же не надо выделять кавычками. Получается, что можно сделать скл-инъекцию даже с mysql_escape_string()?
К примеру:
<?php
mysql_query("SELECT * FROM table WHERE id = $id");
// если в $id вписать, к примеру,
// 1; UPDATE table SET id = 666 WHERE id = 1
// то можно изменить любые числовые данные в БД
?>
|
Разъясните, пожалуйста! | |
| |
|
|
|
