Web Günlüğü

SQL injection ve Korunma Yöntemleri

 
// vetitabanına bağlan
$conn = mysql_connect("localhost","root","");
mysql_select_db("test",$conn);

// sorguyu hazırla
$sql= "SELECT * FROM people WHERE id = '$_GET[id]'";

// sorguyu çalıştır
$result= mysql_query($sql,$conn);

// verileri al ve göster
while ($row=mysql_fetch_array($result))

{
 echo $row['isim']." ";
 echo $row['soyisim']."<br />";
}
echo "<br />";
echo "çalıştırılan sorgu : ".$sql;
 

• GET ya da POST ile yollanan verileri doğrulamak
• Gönderilen verileri filtrelemek
• SQL Parametresi kullanmak (Prepare yapmak)
• Kullanıcı yetkilerini kısıtlamak
• Güvenliği test etmek, gözden geçirmek, önemli verileri encrypt etmek

 
 // Girdiyi  alıyoruz. 
//( örnek olduğu için girdiyi elle giriyoruz)
$input="Bu girdi kontrol edilecek..'";
// Regular expression ile girdi kontrol (doğrulanıyor) ediliyor.
if (preg_match("/[\-]{2,}|[;]|[']|[\\\*]/", $input))
 echo "zararlı karakterler var";
else 
 echo "doğrulandı"; 

 
// Girdiyi  alıyoruz. 
//(örnek olduğu için girdiyi elle giriyoruz)
$input="34'; DELETE FROM test";
// Regular expression ile girdiyi filtreliyoruz
// 0 ve 9 arasında olmayan tüm karakterleri siler
$input=preg_replace("#[^0-9]#",'', $input);
// aşağıdaki satır ekrana 34 yazdırır
 echo $input;
  

 
 // Girdiyi  alıyoruz. 
//(örnek olduğu için girdiyi elle giriyoruz)
$input=1;
// veritabanına bağlanıyoruz (PDO : PHP Data Objects (PDO) extension )
// PDO extension PHP 5.1 ile otomatik olarak yüklü olarak geliyor.
$dbh = new PDO('mysql:host=localhost;dbname=test', 'root', '');
// prepare işlemi yapıyoruz
$stmt = $dbh ->prepare('SELECT * FROM people WHERE id = :id');
// bind işlemiyle verimizi bağlıyoruz
$stmt->bindParam(':id', $input);

// çalıştırmayı deneyip hata almazsak çıktıyı gösteriyoruz
if ($stmt->execute()) {
  while ($row = $stmt->fetch()) {
    echo "<pre>";
    print_r($row);
	echo "</pre>";
  }
}
 

 
 // id numarasını GET metodu ile alıyoruz
  string id = Request.QueryString("id");
 // SQLcommand nesnesi oluşturuyoruz
  SqlCommand cmd = new SqlCommand("SELECT * FROM people WHERE id = @p_id");
  // parametre tipini belirliyoruz
  var param = new SqlParameter("p_id", SqlDbType.Int);
  //parametre değerini giriyoruz
  param.Value = 1;
  // parametreyi bağlıyoruz
  cmd.Parameters.Add(param);