ขอวิธีปิดช่องโหว่ เว็บของผมหน่อยครับ โดน SQL Injection เข้ามาแฮคข้อมูลไปหมด

[id09318]

โค้ด เลือก ขยาย

function dub($id,$table,$value){
$sql_s = " SELECT  *  FROM  ".$table." where ".$id." = '".$value."'";
$reslt_s= mssql_query($sql_s);
$row_s  = mssql_fetch_array($reslt_s);
if(!$row_s){
return true;

}
else{
return false;

}

[Jonathanz]

อย่างง่ายๆก่อนเลยก็ใส่
$value = mysql_real_escape_string($value);
ก่อนบรรทัดที่ 28

[smapan]

กรอง
$table = mysql_real_escape_string($table);
$id = mysql_real_escape_string($id);
$value = mysql_real_escape_string($value);

ให้หมดครับ

[id09318]

กรอง
$table = mysql_real_escape_string($table);
$id = mysql_real_escape_string($id);
$value = mysql_real_escape_string($value);

ให้หมดครับ

ขอบคุณมากครับ 

[id09318]

หวังว่าจะปลอดภัยนะครับ เมื่อเช้านี้โดนยับเลย!

[goldxp]

ถ้า db เป็น mssql อาจจะต้องใช้

$s = str_replace("'","''",$s);
หรือ
$s = str_replace("'","",$s);
แทน mysql_real_escape_string ครับ

[feee]

ท่านใช้ db ของอะไรหรอครับ

ตัวอย่างวิธีป้องกัน SQL Injection บน PHP และ MySQLi ครับ ลองปรับใช้ดูครับ
www.amplysoft.com/knowledge/prevent-sql-injection-php-mysqli.html

[konkonkan]

ขอถามเพิ่มเติมจากเจ้าของกระทู้นะครับ

เราสามารถใช้คำสั่ง addslashes แทนการใช้ mysql_real_escape_string ได้หรือเปล่าครับ
แล้ว 2 คำสั่งนี้มันต่างกันยังไงหรือครับ

[iak1]

เพิ่มเติมให้ครับสำหรับคนชอบอ่านเรื่อง security   

http://basic-hack.blogspot.com/2012/06/sql-injection.html

[ardencod3]

ผมว่าควรเขียนจาก framework สักตัวจะดีกว่าการเขียนเองทั้งหมด โค้ตที่ได้มันจะเป็นมาตรฐานกว่า ศุึกษาหน่อย อนาคตจะไม่เหนื่อย

[id09318]

ไม่ทันแล้วครับตอนนี้โดน hack หมดละ เข้ามาลบข้อมูล เข้ามาลบดาต้าเบสผมหมดเลย ลง windows ใหม่ละครับ 
ข้อมูลไปหมดละครับ ท้อละ

[necrotorture]

เก็บไว้เป็นประสบการณ์ครับ  อย่าท้อ   

[ballalistit]

หัด Framework อีกเสียงครับ ผมเริ่มต้นกับ CI ใช้งานค่อนข้างง่าย มี helper เยอะครับ สู้ ๆ ครับ

[iCeEffecT]

รู้สึกว่า mysql_real_escape_string กำลังจะเลิกใช้งานนะครับ ยังไงรอผู้รู้มาตอบครับ

[buy high pr domain]

โดน SQL Injection เข้ามาแฮคข้อมูลไปหมด

แย่เลย 

[~บอล~]

ลองใช้ .htaccess ดูครับ

[CopperCrew]

ช่วงนี้อิหร่านมาสอยเวบไทยกระจุยไปหลายแห่ง
ต้องคอยupdateปิดช่องโหว่ละครับ 

[id09318]

โดนลบข้อมูลไปต่อหน้าต่อตาเลยครับ ทำไรไม่ได้นอกจากปิดเครื่องหนีมัน หลังจากปิดแล้วเปิดขึ้นมา ปากฏว่ามันก็สายไปแล้วครับ
ก่อนหน้านี้มัน hack เข้ามาปิด เซอวิส หลายตัว ผมก็งงๆ เซอวิสผมปิดเองได้ไง ผมเริ่มสังเกตุ มันก็เริ่มชักจะยังไงๆล่ะ เซอวิส ไฟวอล เซอวิสSQL ปิดเอง ปิดต่อหน้าต่อตาเลย ผมใช้เครื่องอยู่ปิดเฉยๆเลย
ผมก็งง พอมาช่วงตอนเย็น มันจัดหนัก ลบข้อมูลทีละโฟลเด้อๆ ลบดาต้าเบสออกเป็นก้อนๆ สุดท้ายมันก็สายเกินที่จะแก้ครับ ( ผมขอฝากเป็นอุทาหรไว้ด้วยนะครับ ถ้าใครโดนHacker เจาะเข้ามาโดยที่เราไม่ทราบว่า hack เข้ามาผ่านช่องโหว่ไหน ให้รีบแก้ตั้งแต่ต้นๆ และให้ผู้มีความรู้ทางด้านนี้หาช่องโหว่แล้วปิดมันให้มิดชะก่อนมันจะสายเกินไป ( ของผมมันHackภายในวันเดียว ไปหมดเลยครับ ) )

[mikeyx]

Hack มา PC ส่วนตัวหรอครับ
หรือ Server

[id09318]

Hack มา PC ส่วนตัวหรอครับ
หรือ Server

Server ครับ