Fokus : SQL Injection

[Terrasque]

Ser at Kpspersky har klart å tulle en smule, og i den anledning vil jeg sette litt lys på SQL injection.

 

SQL injection er rett og slett at folk legger inn sql kode i et input felt, og som da vil bli kjørt av databasen. Grunnen til at dette skjer er at programmereren ikke har tatt riktige forholdsregler, noe som skjer alt for ofte i PHP kode.

 

Den gyldne regelen er at ALT som sendes fra brukeren MÅ behandles før det brukes i en SQL string. Ved MySQL bruker man mysql_real_escape_string for det.

 

Når det gjelder SQL injection i praksis, så ta og les denne artikkelen. Den viser lettfattelig steg for steg hvordan et angrep blir utført, og viser hvor farlig det kan være.

 

I forbindelse med dette har jeg også sparket liv i min gamle security challenge, som man blant annet må bruke sql injection for å klare.

 

Og jeg håper med dette at flere folk blir klar over problemet, og skriver litt mer fornuftig kode

[Alex Moran]

Vil heller foreslå at man ALLTID bruker prepared statements når deler av sqlen kommer fra brukerinput.