[PHP] injection sql (MS SQL)

Marsh Posté le 27-08-2009 à 14:41:20

Bonjour,

je dois corriger des failles d'injection sql dans un script php datant d'au moins 4 ans qui tape sur une base sql server

j'ai essayé d'entourer tous les params du formulaire d'une fonction securVar() ui est la suivante :

Code :

function secureVar($var) {
if( get_magic_quotes_gpc() ) {
$var = stripslashes( strip_tags( $var ));
}
$var = str_replace("''", "'", $var);
return str_replace("'", "''", $var);
}

le probleme c'est j'ai l'impression qu'il y a d'autres caractères a éviter et non seulement le ' (qui est d'ailleurs échappé par un ' comme lui et non pas par un \ )

exemple : URL?camp=3 select @@version retourne une erreur sql avec la version du serveur sql

n'existe-t-il pas des fonction genre mysql_real_escape_string ?

merci de votre aide.

Marsh Posté le 27-08-2009 à 14:41:20

Marsh Posté le 27-08-2009 à 15:42:36

Tu oublies ta méthode et tu te renseignes sur les requêtes préparées, seul vrai moyen de sécuriser un site et ses requêtes SQL

http://blog.juliencrouzet.fr/2009/ [...] preparees/

---------------
J'ai un string dans l'array (Paris Hilton)

Marsh Posté le 27-08-2009 à 20:36:53

est si ta moyen utilise PDO, si ton script est propre, tu devrai pas avoir beaucoup de modification a faire

Message édité par stealth35 le 27-08-2009 à 20:37:22

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed

Name *

Email *

URL

Message *