sql-инъекции и phpBB

[Махди]

Очень хотелось бы узнать у знатоков phpBB как этот скрипт защищается от sql-инъекций.

[Xpert]

Золотым правилом: "Не доверяй входным данным"

[Vladson]

защищается

От них вообще никто не защищаются, их просто не существует в правильном коде.
По этому если код нормальный то и защищаться не от чего...

[Махди]

Дайте, пожалуйста, пример такого кода, оч. нужно.
Как можно построить код так, чтобы избежать эти инъекции на 100%?

[CodeWorld]

Максимум ищи во входных параметрах SELECT UNION и т.п. и заноси в лог предупреждений. Потом хоть узнаешь где дырка

[Coagulant]

Как можно построить код так, чтобы избежать эти инъекции на 100%?

Например, можно использовать placeholder'ы для вставки переменных в sql-запросы. При этом вставляемые данные автоматически "чистить". Этим занимается в том числе библиотека dbSimple.


В phpBB 2.x защита от sql-инъекций выполняется вручную в каждом запросе. Немудрено и пропустить "грязную переменную".

Код: Выделить всё

            $sql = "SELECT user_id
               FROM " . USERS_TABLE . "
               WHERE username LIKE '" . str_replace("\'", "''", $search_author) . "'";

Впрочем, в 3.x ситуация изменилась не кардинально:

Код: Выделить всё

      $sql = 'SELECT user_id
         FROM ' . USERS_TABLE . "
         WHERE username_clean $sql_where '" . $db->sql_escape(preg_replace('#\*+#', '%', utf8_clean_string($author))) . "'
            AND user_type IN (" . USER_NORMAL . ', ' . USER_FOUNDER . ')';

Добавлено спустя 1 минуту 37 секунд:

ищи во входных параметрах SELECT UNION и т.п. и заноси в лог предупреждений. Потом хоть узнаешь где дырка

Будет уже поздно. Хотя как вторая линия оброны сгодится (для подстраховки).

[Махди]

Coagulant
Спасибо.
В первом коде я так понял, просто все ' заменяються на двойные кавычки, т.е. '

А вот во втором коде, не совсем ясны как работают эти новые функции.

А mysql_real_escape_string() может спасти?[/code]

[Coagulant]

Махди
Приведенные выше два куска кода никоим образом не могут служить руководством к действию. Это лишь часть "защиты" phpbb, ей не исчерпывается.

Обратитесь к dbSimple, ссылка в посте выше.

А вообще статей по поовду sql injection очень много. Везде как правило есть и советы по тому как не допустить дырявого кода.