Basic sql injection

Question

Я пытаюсь изучить SQL-инъекции, чтобы я мог защитить себя в будущем.

Вот PHP код:

$req = mysql_query("INSERT INTO ip_change VALUES('', '".$_SESSION['id']."', '".$_POST['raison']."')") or die(mysql_error()); 

И пользователь имеет полный контроль над $ _POST [ 'Raison'] содержание.

Когда я использую 'hello, как [ 'Raison'] значение $ _POST я получаю

У Вас есть ошибка в вашем SQL синтаксиса; в руководстве, соответствует версии сервера MySQL для корректного синтаксиса использовать вблизи «привет»)»в строке 1

Когда я использую '); DELETE * FROM tabledetest;") or die(mysql_error());-- в $ _POST [„Raison“] значение я получаю

У вас возникла ошибка в синтаксисе SQL; в руководстве, соответствует версии сервера MySQL для правильного синтаксиса, чтобы использовать вблизи «DELETE * FROM tabledetest;") или умереть (mysql_error()); - ')' в строке 1

Так что я не понимаю, почему мой запрос не введен, и я не могу удалить свою tabledetest таблицу.

Любая помощь будет оценена.

Answer 1

для защиты от SQL инъекций не следует вводить переменные непосредственно запрос используется Prepared Statements.

Answer 2

Это потому, что вы не сделали правильной инъекции!

Вот что вы сделали. Авто-формат подскажет вам:

<?php 
$_SESSION['id'] = "123"; //Just assume 

$req = mysql_query("INSERT INTO ip_change VALUES('', '123', ''hello')") or die(mysql_error()); 

Это не было должным образом завершено.

Для следующего:

$req = mysql_query("INSERT INTO ip_change VALUES('', '123', ''); DELETE * FROM tabledetest;") or die(mysql_error());--')") or die(mysql_error()); 

1. От the manual:

mysql_query() посылает уникальный запрос (несколько запросов не поддерживаются) текущей активной базы данных по сервер , связанный с указанным link_identifier.

mysqli имеет оповещение об multiple statements.

2. -- не может комментировать код PHP!PHP комментарий // или #

Некоторые ссылки, которые могут помочь вам: [Похожа на свой вопрос]

1. https://en.wikibooks.org/wiki/PHP_Programming/SQL_Injection_Attacks
2. http://roshanbh.com.np/2007/12/sql-injection-attack-examples-and-preventions-in-php.html
3. SQL injection test - mysql_query