Если у вас не хватает денег на рекламу, нужно попросить специалиста за вознаграждение - Веб-строительство

Помогите пожалуйста, атакуют sql иньекциями!

Zion-i2 · 2013-06-10T20:09:15.0000000Z

Запустили городской сайт, дали рекламу на бордах, радио, расклеили обьявления по всему городу, вобщем подошли к этому делу серьезно, и вот 1 местный умелец начал нас атаковать, добавлять в раздел обьявления и вакансии города записи вида "тест админ" во всех полях а в поле айди юзер было написано "0" мы поставили сесию на обработчик добавления (было упущение) и он зарегался и продолжил. так мы убедились что дырка действительно в этом файле, и + споймали его айпи, сейчас забанили. но на этом айпи целая сеть юзеров сидит с нашего города. так что нам срочно нужно исправить ситуацию. Если кого не затруднит прошу помощи, посмотрите пожалуйста файлик обработчик и если не сложно добавьте защиту. Вот ссылка на обработчик http://magic-8-ball.net/send.rar добавление идет аяксом, там 2 одинаковых сценария, 1 для если отклучен яваскрипт. Надеюсь мир не без добрых людей, поэтому за ранее большое спасибо, если кто-то решит отвлечся от дел и глянуть. Просто я незнаю какую проверку добавить.

E

283

easywind

11 июня 2013, 07:29

#11

siv1987:
а переменную вы не приводите к типу int. Что будет если передать в качестве ид строку?

Обязательно к типу приводить? is_numeric не поможет?

V

76

voltamper

11 июня 2013, 07:42

#12

А непроще попросить специалиста за вознаграждение?

Если у вас хватает денег на рекламу на радио (это вроде недешево)

Белая датинг партнерка (http://u.to/6nnSAw) Сайт знакомств (http://hochulove.ru/)

427

siv1987

11 июня 2013, 07:47

#13

easywind:
Обязательно к типу приводить? is_numeric не поможет?

int - целочисленное число. is_numeric - являться ли числом. Поэтому на практике как правило используется принудительная типизация, без всяких is_numeric и тд.

[Удален]

11 июня 2013, 13:57

#14

Что вам мешает перейти на PDO prepared statements и забыть об этой проблеме раз и навсегда? ☝

Ну по крайней мере степень защиты высока и морочиться с эскейпами и прочим не нужно.

108

Zion-i2

11 июня 2013, 15:00

#15

arkadiy_a:
Не знаю целиком вашей ситуации но похоже вы адов неадекват.
Бюджет на рекламу есть:

Ну ладно в целях "экономии" на кодере сэкономили что норм в принципе, но человек набивается в тестеры, не зловредит, в открытую записи со словом "тест" создает подавая сигналы о проблеме.
Дайте ему немного бобла с полным раскрытием инфы что накопал, не жмотьтесь, и скажите спасибо что в этот раз он а не кто-то другой который вам дороже обойдется.

Я не считаю себя настолько ущербным в php и mysql чтобы не разобраться и не сделать защиту от sql хулигана. Мне 25 и мне чертовски интересно во всем этом разбираться, вот мое творение http://daroved.net/

Просто я запаниковал, но все равно спасибо всем, благодаря вам почистил обработчики от ненужного кода и решил проблему блогодаря этому

$text = mysql_real_escape_string(htmlspecialchars($_POST['text']));

Почему сайт доступен на Список матерных слов Посоветуйте хостинг

111

bay_ebook

11 июня 2013, 15:28

#16

Zion-i2:

UPD: Все работает, теперь все сценарии добавляются как текст. Но у него какойто софт так как он добавлял по 100 обьявлений чють ли не в секунду. теперь думаем как сделать ограничение на добавление обьявлений например максимум 3 в сутки с одного айпи.

так это проблема не sql, а каптчи и запрета для юзера на количество публикаций (правда еще нужно запретить создавать юзеров на автомате)

Нужен прогер на php+mysql+понимание чужего кода? (/ru/forum/540660) Вам сюда PHP-шаман (http://php-shaman.pw/)

108

Zion-i2

11 июня 2013, 15:56

#17

bay_ebook:
так это проблема не sql, а каптчи и запрета для юзера на количество публикаций (правда еще нужно запретить создавать юзеров на автомате)

Уже поставил блокировку по ip на повторную регистрацию и добавление обьявлений. Ну естественно по времени.

82

arkadiy_a

11 июня 2013, 15:58

#18

Zion-i2:
Я не считаю себя настолько ущербным в php и mysql чтобы не разобраться и не сделать защиту от sql хулигана. Мне 25 и мне чертовски интересно во всем этом разбираться, вот мое творение http://daroved.net/

Как это связано с тем что вас ломает дать (немного?) бабла добровольному тестировщику (если выяснится что он готов вам помочь)?

Притом что как пишете бабло на рекламу у вас таки есть.

1609

SeVlad

11 июня 2013, 17:02

#19

Zion-i2:
Я не считаю себя настолько ущербным в php и mysql чтобы не разобраться и не сделать защиту от sql хулигана. Мне 25

А ума не хватает попить пиво с "хакером"? Или боишься изменить мнение о себе? :)

arkadiy_a, дело говорит - 100%.

И дело даже не в том, что "самому интересно покодить". Тут больше интерес в интересных (и наверняка полезных) знакомствах.

Делаю хорошие сайты хорошим людям. Предпочтение коммерческим направлениям. Связь со мной через http://wp.me/P3YHjQ-3.

Харьков есть? VDS для 1С Минчане v2.0

112

doctorpc

11 июня 2013, 17:19

#20

Имхо, скажите спасибо пользователю за бесплатное тестирование.

Кроме защиты от инъекций Вам еще не хватает валидации данных перед вводом в БД, отсюда и получается куча нулей.

Кажется, что вы подходите к решению проблемы с другой стороны, нужно не банить пользователя, а устранять причину. У Вас еще будет 1000 таких доброжелателей если, вдруг, портал будет развиваться. Весь город будете банить и заявы писать?

Хотите быстро и чтобы работало - наймити специалиста.

Хотите сами разобраться - тоже очень похвально, но тогда это месяцы (и даже годы) обучения, проб и ошибок.

2

купили домен - он После смены ДНС нет Вакансия, СНГ, помощник сеошника

Google: E-E-A-T не является фактором ранжирования

Переиграть и победить: как анализировать конкурентов для продвижения сайта

Помогите пожалуйста, атакуют sql иньекциями!