[PHP] Anti SQL Injection

[Juliana~* 26]

Olá pessoa, vou postar aqui pra você um script que eu tenho aqui a muito tempo e sempre me ajudou, tanto em $_GET quanto em $_POST.

 

Como funciona ?

 

basicamente, ele ira substituir alguns simbolos e comandos sql para nada.

 

antisql.php

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Esse script eu tenho a uns 9 meses, mas ele não é meu, achei uma vez na internet e gostei tanto que estou com ele até hojé...

 

Como usar ?

 

POST

 

Nos metodos post, é facil, vc usa anti_sql(); para verificar o texto, exemplo:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

GET

 

A mesma coisa com o get, para as urls que também são alvos dos "hackers".

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Não se esquece de incluir ele na pagina:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

É isso, até mais.

[Cr4cko 1215]

Esses anti sql existem na maioria dos sites de servidores privados de jogos.

Isso não é recomendado. De uma lida no conceito sanitize, são bem mais eficientes.

 

Em java seria:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

O próprio PreparedStatement já faz o filtro das strings etc.

Assim, se eu quiser que meu login seja shutdown; ou drop table, será, e não ocorrerá nenhum efeito no meu banco de dados em nenhum momento.

Tenho certeza que existe isso em php, de uma pequisada em Sanitize e você verá..

Abraços e bons estudos!

[rnxn 2]

Aquele return $texto na penúltima linha não deveria estar fora do comentário? '-'

[Juliana~* 26]

@Cr4cko, Bom seria ótimo também, mas como disse, nunca tive problemas com esse anti sql, até mesmo já utilizei ele em servidores de gunz.

@rnxn sim, deveria, é que bagunça tudo x.x kkk obg

[NoSlake 56]

Muito boa essa base anti SQL, vou salvar aqui pra usar nos projetos. Tem algum problema usar ele junto à outros métodos anti-injection?

[☢|EXPL01T3R|☣ 50]

no básico é isso ai, mas essa proteção não seria eficaz em caso de um SQL injection encodado por exemplo... sugiro que de uma olhada na documentação da OWASP sobre SQL injection e outras vulnerabilidades tbm..

[Juliana~* 26]

@NoSlake Nao nenhum problema.

@Explo1t3r Quando eu receber um injection procuro saber .

[☢|EXPL01T3R|☣ 50]

sem problema, é tradição brasileira remediar, ao invés de se prevenir.

Caso queira uma auditoria pra saber até onde esse código aguenta:

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[MostlyNice 2]

O problema disso aí é o custo e a quebra de integridade. E se você quiser que algumas dessas palavras apareçam?

 

Se utilizasse o Prepared Statements não passaria sufoco.

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[IReAnImAtIoN 0]

realmente não ha necessidade disso a não ser que você insista em usar o mysql_connect();

esse código faz a mesma coisa do código acima porém, assim fica mais natural e adaptavel aos diversos tipos de aplicações web.

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[GGultra 0]

Amazing ! I just got Working Riot Point Generator for totally FREE ! Come and download this RP Generator too

 

 

>>

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

<<

 

[Juliana~* 26]

O problema é o seguinte, vocês sabem disso, poow cara que legal, parabéns !!!

Mas eu não postei isso para vocês vir aqui e ficarem mostrando que sabe, algo melhor, isso para min é ótimo, vai me dizer que quem começa a programar não aprende com mysql_connect()

Até porque vocês pensam "em vocês e no que vocês sabem", isso para min está funcionando perfeitamente, bom, então já que temos membros tão SUPER AVANÇADOS assim que para provar o que dizem postam CODIGOS SUPERIORES e mais SIMPLES, facil, pratico e seguro, cade os TUTORIAIS AQUI ? Vamos pessoal, vocês sabem tanto que me da medo ... Deus me livre, credo, por isso WC ta esse lixo hoje, pra falar que existem códigos e melhores o tópicos enchem ... OMG

 

O CODIGO NÃO É SEGURO ? quero ver alguém aqui burla ele ... quando conseguir avise aqui ...

[☢|EXPL01T3R|☣ 50]

como disse, se quiser uma auditoria pra ver até onde esse código aguenta.. use o formulário de contato no meu site..

não tem porque vc ficar nervoso(ou nervosa se seguir o nick), ótimo que funcione, mas o ponto é que vc esta postando uma proteção contra um ataque, porem essa proteção é ineficiente, as dicas são apenas para melhorar mais ainda e não pra zuar seu código..

[MostlyNice 2]

O CODIGO NÃO É SEGURO ? quero ver alguém aqui burla ele ... quando conseguir avise aqui ...

 

Nossa que ignorância.

 

Tenta um:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

O seu código vai aceitar, porque você está checando por minuscula. Mas o comando é case-insensitive, então aquilo poderia ser executado. Dependendo de como você está recebendo dados do usuário. Você poderia utilizar um:

 

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

 

Ainda assim eu não confiaria no código. A cada campo você teria que fazer um loop por diversas palavras chave e ainda faria a substituição. Com mais campos, maior seria o problema, já que consumiria mais recursos. Além do que eu disse antes, não é incomum você querer usar essas palavras em um texto, nome de usuário, etc. Só que a função iria deletar (acabando com a integridade).

 

Eu só acho que se alguém não tolera ter o seu código criticado, não deveria postar ele. (só acho)

[Juliana~* 26]

ja falei, burla o código e poste aqui, quero prints, codigo fontes e não teorias, não estou nervosa só acho que vcs ajudaram simplesmente em nada.

E não é questão de aceitar críticas, mas o caso é outro.

Arrumando o código, @mostly vc tem razão tinha esquecido de voltar o código original.

E outra, como disse no tópico esse código não é meu :)

[☢|EXPL01T3R|☣ 50]

manda la pra gente o link de ond vc usa esse código e eu mostro como ele falha

É necessário se cadastrar para acessar o conteúdo.

• Entre
• ou
• Cadastre-se

[Skope 2]

Parabéns pelo arquivo, porém nem sempre é 100% eficiente e depende de host para host.