Sql injection

Ciao a tutti
scusate la domanda niubba ma... Ha senso prevenire le SQL Injections se mi trovo in un'area protetta da password (quindi parlo dei campi per cui già sono autenticato nel sistema) e le tabelle che vado ad interrogare non contengono dati significativi alla sicurezza del sistema?

no, però visto che non costa niente è meglio prevenire!

[dreadnaut]

mysql_real_escape_string() ovunque, non costa tanto.

[Xsescott]

se ne sei sicuro al 100% (mai esserlo) guarda le "union", permettono di fare tante cose ;)

Io di solito, oltre al mysql_real_escape_string(); uso anche stripslashes(); (stripslashes la metto per prima). Non ricordo neppure il perchè, studiai così e mi è presa come abitudine

@dreadnaut: troppo forte la vignetta

Anyway, grazie a tutti per i consigli

[mycarlo]

stripslashes e mysql_real_escape_string !!!
Così annulleresti il risultato

Renditi conto che stripslashes rimuovere gli slash e mysql_real_escape_string gli aggiunge!

$stringa = "'); DROP TABLE students -- ?";

echo stripslashes(mysql_real_escape_string($stringa)); // stampa '); DROP TABLE students -- ?

echo mysql_real_escape_string($stringa); // stampa \'); DROP TABLE students -- ? 

Renditi conto un pò tu :D! Al limite stripslashes la usi dopo mysql_real_escape_string...

stripslashes e mysql_real_escape_string !!!
Così annulleresti il risultato

Renditi conto che stripslashes rimuovere gli slash e mysql_real_escape_string gli aggiunge!

$stringa = "'); DROP TABLE students -- ?";

echo stripslashes(mysql_real_escape_string($stringa)); // stampa '); DROP TABLE students -- ?

echo mysql_real_escape_string($stringa); // stampa \'); DROP TABLE students -- ? 

Renditi conto un pò tu :D! Al limite stripslashes la usi dopo mysql_real_escape_string...

Ad una prima impressione ricordo di aver avuto le tue stesse conclusioni, che se non sbaglio sono errate. Vengono rimessi i caratteri di escape per i caratteri utili ai fini dell'injection, per gli altri no.

[mycarlo]

E l'apice o apostrofo non è un carattere ai fini di injection?

[dreadnaut]

Se mksoftware usa stripslashes prima di mysql_real_escape_string, non c'è nessun problema.

 $valore = @strip_slashes($_POST['qualcosa']);

 $valoresicuro = mysql_real_escape_string($valore); 

Anzi, è spesso utile farlo per evitare la moltiplicazione degli slash nei valori passati via $_POST, visto che su AlterVista è attivato magic_quotes.

Più che aggiungere stripslashes, io preferisco disattivare quest'ultima opzione aggiungendo nel file .htaccess

php_value magic_quotes_gpc off