Advance SQL Injection Attacks

Salut,

Je traversais les statistiques de mon site et trouvé des injections SQL ont été passées à travers querystring Mes sites.

Ce fut le passé sur une chaîne de requête de la page. (Nota: Pour des raisons de sécurité, j'ai remplacé ma table d'origine et des noms de colonnes dans le code ci-dessous.)




J'ai pris soin des attaques par injection SQL et par conséquent en utilisant la fonction suivante dans mon code de partout pour contourner tout injections SQL.





Je ne poste pas ce fil pour savoir ce que les injections SQL. Je sais ce que c'est.

Peu de choses que je veux savoir, ce sont:

1) Comment savaient-ils de mes noms de colonne (xuser et xpass) et le nom de table (mytbl_login)?

2) Pourquoi ne pas le antisql () la fonction de prévenir de cette attaque par injection SQL?

3) Quelle est la chaîne de requête ci-dessus en réalité?


Quelques infos:
Mon site est fait en PHP MySQL et fonctionnant sur CentOS.


Thank you so much for your help à l'avance.

Je vois que toutes vos questions ont déjà répondu dans l'autre forum. Ils ont fourni de bonnes informations.

http://www.webdeveloper.com/forum/showt ... p?t=194396

Peut-être un certain nombre de moyens, de prêter attention à la demande de soutien forum youve fait utilisant des noms de table d'une supposition basée sur la connaissance au sujet d'une bibliothèque opensource que vous utilisez peut-être un ami dont le familiariser avec votre projet de regarder votre dos.

Une des tâches impliquées dans runing un site web est d'être capable de déterminer que, en regardant les journaux / etc et sans demander à personne d'autre.


Parce que tous les faire, c'est de supprimer les guillemets.

Vous avez besoin de faire deux choses à éviter l'injection SQL.

1) Assurez-vous que chaque pièce de la demande de données que vous obtenez à partir de $ _GET / $ _POST / etc est vérifié contre le format avant de faire quoi que ce soit avec lui. C'est le plus important.

2) Assurez-vous de données de prix à destination de colonnes de texte sont correctement échappé.


Sans voir le code qui travaille avec elle, son difficile à dire. Mais à première vue, il semble ajouter quelqu'un nom d'utilisateur / mot de passe pour les résultats d'une requête qui imprime déjà des données sur l'écran.