ขอวิธีปิดช่องโหว่ เว็บของผมหน่อยครับ โดน SQL Injection เข้ามาแฮคข้อมูลไปหมด

[ThaNaButS]

อย่าลืมดูล็อกไฟล์ด้วยนะครับว่าแฮกเกอร์แอบใส่อะไรไว้หรือเปล่า

ผมเคยโดน sql injection เข้ามาทางหน้าจัดการเว็บไซต์ และมันแอบเอาสคริปสำหรับไว้แฮกมาใส่ด้วยครับ แต่โชคดีที่มันยังไม่ลบฐานข้อมูล

[dekmv]

รู้สึกว่า mysql_real_escape_string กำลังจะเลิกใช้งานนะครับ ยังไงรอผู้รู้มาตอบครับ

ได้ยินมาเหมือนกันครับ ถ้าชอบเขียน ลองดู PDO SQL ครับ

[seook]

น่ากลัวมากเลย

[iLhay]

ใช้ prepared statement ครับ

[Bangkokboy]

ใช้ Windows บน Server เหรอครับ ? Windows อะไรบอกได้มั้ยครับ 

สู้ ๆ ครับ..

[[M]-ammothz]

windows server xxxx ไงครับ มีเยอะแยะไป เว็บเซิฟเวอร์ไม่ได้มีแค่linux อย่างเดียวน่ะครับ

[NightClub]

ลองใช้ strlen ดูสิครับ ง่ายกว่าที่คิด

strlen เป็นคำสั่งเช็คจำนวนตัวอักษร

เช่น

$sql = "select * from xxx where id =1"

เราจะนับได้ 29 ตัวอักษร หาก id เปลี่ยนเป็น 2000 ก็จะได้ 32 ตัวอักษร

ก็จะได้ช่วงตัวอักษรไม่เกิน 32

ก็เขียนเป็น
if(strlen($sql) > 32){  exit; }

ตัดจบการทำงานมันเลย

หากมี id หลักหมื่นก็เพิ่มเอา เป็น 33 34

หรือจะใช้แบบ id=$id
เช็ค strlen $id ไม่เกิน 4 ก็ได้ครับ

[id09318]

ใช้ Windows บน Server เหรอครับ ? Windows อะไรบอกได้มั้ยครับ 

สู้ ๆ ครับ..

server 2008 ครับ

[id09318]

ขอฝากไว้เป็นอุทาหรครับ ( ถ้าเจอแบบนี้ให้รีบโดยทันที ช้าแม้นาทีเดียว เกลี้ยงแน่นอนครับ ) 

[LIEWnetwork]

มีใครใช้ zend framework ไหมครับ