Форум Сайтостроение Веб-строительство

Здесь возможно sql inject ?

[Удален]
597

Здравствуйте, скажите пожалуйста здесь возможность произвести атку типа sql inj.


$query = $this->db->query('SELECT i.id, i.created, i.type, s.server_name, u.username, u.realname FROM item i, servers s, users u WHERE i.server_id = s.id AND i.user_id = u.id ORDER BY ' . $sidx . ' ' . $sord . ' LIMIT ' . $limit . ', ' . $rows);

$sidx - сортировка по типу поля.

$sord - asc, desc - всего 2 значн.

$limit, $rows - я успешно фильтрирую, ну как быть с остальными, escapte_string() ?

Спасибо!

S1
На сайте с 13.03.2008
Offline
49
smart1k
#1

mysql_real_escape_string() и кавычки. Если переменная целое число - (int)$var.

Дизайн сайтов (UI/UX), логотипов, баннеров и прочего... (/ru/forum/770062)
LEOnidUKG
На сайте с 25.11.2006
Offline
1774
LEOnidUKG
#2

мы не знаем как обрабатываются входные данные, поэтому не известно.

✅ Мой Телеграм канал по SEO, оптимизации сайтов и серверов: https://t.me/leonidukgLIVE ✅ Качественное и рабочее размещение SEO статей СНГ и Бурж: https://getmanylinks.ru/ ✅ Настройка и оптимизация серверов https://getmanyspeed.ru/
DZ
На сайте с 03.02.2011
Offline
2
DoctorZlo
#3

Просто проведи принудительное эскепирование всех данных, участвующих в формировании SQL-запроса. И тогда 100% никакой инъекции не будет.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий