21.02.2011, 19:47
|
|
Новичок
Регистрация: 21.06.2005
Сообщений: 1
С нами:
10992741
Репутация:
0
|
|
Сообщение от asql
Если кому нибуть не в лом, из знатоков, прошу объяснить новичку элементарную вещь.
При простом заросе в базу данных типа:
$db=mysql_query("SELECT * FROM table WHERE id='$_GET['id']' ");
$db=mysql_fetch_array($db);
и при вводе в url адреса http://site.ru/index.php?id=1' выдает ошибкуWarning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in...
...и дальше не идет...
тоесть при вводе http://site.ru/index.php?id=1'+order+by+1--
все равно выдает ошибку...
Казалось бы золотая sql'ka, но разобратся с этим ни как не могу.
Заранее спс!
При твоем варианте должно быть MQ = Off.
Если такое имеется, то
http://site.ru/index.php?id=1'+order+by+1+--+ то есть запрос становиться таким SELECT * FROM table WHERE id=' ' order by 1+--+
Если mq = on - ничего не получиться. получиться так:
"SELECT * FROM table WHERE id=' \' union select ...' и инъекции не будет. Как говорил Dr.Z3r0
Сообщение от None
1)САМОЕ ГЛАВНОЕ ФИЛЬТРОВАТЬ КАВЫЧКИ.
-------------------------------
2)Если используется оператор сравнения строк LIKE фильтровать знаки “%” и “_”
-------------------------------
3)Не использовать при сравнении прерменных без кавычек типа SELECT …WHERE id=$id а использовать так SELECT ...WHERE id='$id' и обратиться к пункту 1
|
|
|