Anticipo ataques de inyección SQL

Hola,

Iba a través de las estadísticas de mi sitio y encontró algunas inyecciones SQL han pasado a través de la cadena de consulta mis sitios.

Este fue el pasado en una cadena de consulta de la página. (Nota: Por razones de seguridad he reemplazado mi mesa original y nombres de columna en el código de abajo.)




Me he tomado el cuidado de los ataques de inyección de SQL y, por tanto usando la siguiente función en mi código por todas partes para evitar cualquier inyección de SQL.





No estoy publicación de este hilo para saber qué es la inyección de SQL. Yo sé lo que es.

Pocas cosas que quiero saber son los siguientes:

1) ¿Cómo sabe mi nombre de las columnas (xuser y xpass) y el nombre de tabla (mytbl_login)?

2) ¿Por qué no la antisql () la función de evitar que el ataque de inyección SQL?

3) ¿Cuál es la cadena de consulta por encima de realidad?


Algunas informaciones:
Mi sitio está hecho en PHP MySQL y se ejecuta en CentOS.


Muchas gracias por su ayuda por adelantado.

Veo que todas sus preguntas ya fueron respondidas en el otro foro. Ellos siempre buena información.

http://www.webdeveloper.com/forum/showt ... p?t=194396

Podría ser cualquier número de maneras, de prestar atención a la solicitud de ayuda foro hilos youve hecho real usando nombres de tabla a una suposición sobre la base de conocimiento de una biblioteca de código abierto que utiliza, tal vez a un / a amigo / Que familiarizado con su proyecto sólo viendo su espalda.

Una de las tareas involucradas en runing un sitio web es poder determinar que mirando logs / etc y sin preguntar a nadie.


Debido a que todos sus haciendo es quitar las comillas.

Lo que tiene que hacer dos cosas para evitar inyección de SQL.

1) Asegúrese de que cada pieza de la solicitud de datos se obtiene a partir de $ _GET / $ _POST / etc se verifica contra el formato de espera antes de hacer cualquier cosa con ella. Esto es lo más importante.

2) Asegúrese de que las comillas en los datos destinados a las columnas de texto están debidamente escapó.


Sin ver el código que trabaja con él, su difícil de decir. Sin embargo, a primera vista parece algo a anexar el nombre de usuario / contraseña a los resultados de una consulta ya que imprime los datos a la pantalla.