ThaiSEOBoard.com

function dub($id,$table,$value){
	$sql_s = " SELECT  *  FROM  ".$table." where ".$id." = '".$value."'";
	$reslt_s= mssql_query($sql_s);
	$row_s  = mssql_fetch_array($reslt_s);	
	if(!$row_s){
		return true;
		
	}
	else{
		return false;
		
	}

อย่างง่ายๆก่อนเลยก็ใส่
$value = mysql_real_escape_string($value);
ก่อนบรรทัดที่ 28

กรอง
$table = mysql_real_escape_string($table);
$id = mysql_real_escape_string($id);
$value = mysql_real_escape_string($value);

ให้หมดครับ

ขอบคุณมากครับ  :wanwan002:

หวังว่าจะปลอดภัยนะครับ เมื่อเช้านี้โดนยับเลย!

ถ้า db เป็น mssql อาจจะต้องใช้

$s = str_replace("'","''",$s);
หรือ
$s = str_replace("'","",$s);
แทน mysql_real_escape_string ครับ

ท่านใช้ db ของอะไรหรอครับ

ตัวอย่างวิธีป้องกัน SQL Injection บน PHP และ MySQLi ครับ ลองปรับใช้ดูครับ
www.amplysoft.com/knowledge/prevent-sql-injection-php-mysqli.html (http://www.amplysoft.com/knowledge/prevent-sql-injection-php-mysqli.html)

ขอถามเพิ่มเติมจากเจ้าของกระทู้นะครับ

เราสามารถใช้คำสั่ง addslashes แทนการใช้ mysql_real_escape_string ได้หรือเปล่าครับ
แล้ว 2 คำสั่งนี้มันต่างกันยังไงหรือครับ

เพิ่มเติมให้ครับสำหรับคนชอบอ่านเรื่อง security    :wanwan003:

http://basic-hack.blogspot.com/2012/06/sql-injection.html

ผมว่าควรเขียนจาก framework สักตัวจะดีกว่าการเขียนเองทั้งหมด โค้ตที่ได้มันจะเป็นมาตรฐานกว่า ศุึกษาหน่อย อนาคตจะไม่เหนื่อย

ไม่ทันแล้วครับตอนนี้โดน hack หมดละ เข้ามาลบข้อมูล เข้ามาลบดาต้าเบสผมหมดเลย ลง windows ใหม่ละครับ  :P
ข้อมูลไปหมดละครับ ท้อละ

เก็บไว้เป็นประสบการณ์ครับ  อย่าท้อ   :wanwan003:

หัด Framework อีกเสียงครับ ผมเริ่มต้นกับ CI ใช้งานค่อนข้างง่าย มี helper เยอะครับ สู้ ๆ ครับ

รู้สึกว่า mysql_real_escape_string กำลังจะเลิกใช้งานนะครับ ยังไงรอผู้รู้มาตอบครับ

โดน SQL Injection เข้ามาแฮคข้อมูลไปหมด

แย่เลย  :P

ลองใช้ .htaccess ดูครับ

ช่วงนี้อิหร่านมาสอยเวบไทยกระจุยไปหลายแห่ง
ต้องคอยupdateปิดช่องโหว่ละครับ  :wanwan004:

โดนลบข้อมูลไปต่อหน้าต่อตาเลยครับ ทำไรไม่ได้นอกจากปิดเครื่องหนีมัน หลังจากปิดแล้วเปิดขึ้นมา ปากฏว่ามันก็สายไปแล้วครับ
ก่อนหน้านี้มัน hack เข้ามาปิด เซอวิส หลายตัว ผมก็งงๆ เซอวิสผมปิดเองได้ไง ผมเริ่มสังเกตุ มันก็เริ่มชักจะยังไงๆล่ะ เซอวิส ไฟวอล เซอวิสSQL ปิดเอง ปิดต่อหน้าต่อตาเลย ผมใช้เครื่องอยู่ปิดเฉยๆเลย
ผมก็งง พอมาช่วงตอนเย็น มันจัดหนัก ลบข้อมูลทีละโฟลเด้อๆ ลบดาต้าเบสออกเป็นก้อนๆ สุดท้ายมันก็สายเกินที่จะแก้ครับ ( ผมขอฝากเป็นอุทาหรไว้ด้วยนะครับ ถ้าใครโดนHacker เจาะเข้ามาโดยที่เราไม่ทราบว่า hack เข้ามาผ่านช่องโหว่ไหน ให้รีบแก้ตั้งแต่ต้นๆ และให้ผู้มีความรู้ทางด้านนี้หาช่องโหว่แล้วปิดมันให้มิดชะก่อนมันจะสายเกินไป ( ของผมมันHackภายในวันเดียว ไปหมดเลยครับ ) )

Hack มา PC ส่วนตัวหรอครับ
หรือ Server

Server ครับ

อย่าลืมดูล็อกไฟล์ด้วยนะครับว่าแฮกเกอร์แอบใส่อะไรไว้หรือเปล่า

ผมเคยโดน sql injection เข้ามาทางหน้าจัดการเว็บไซต์ และมันแอบเอาสคริปสำหรับไว้แฮกมาใส่ด้วยครับ แต่โชคดีที่มันยังไม่ลบฐานข้อมูล

ได้ยินมาเหมือนกันครับ ถ้าชอบเขียน ลองดู PDO SQL ครับ

น่ากลัวมากเลย

ใช้ prepared statement ครับ

ใช้ Windows บน Server เหรอครับ ? Windows อะไรบอกได้มั้ยครับ  :wanwan004:

สู้ ๆ ครับ..

windows server xxxx ไงครับ มีเยอะแยะไป เว็บเซิฟเวอร์ไม่ได้มีแค่linux อย่างเดียวน่ะครับ

ลองใช้ strlen ดูสิครับ ง่ายกว่าที่คิด

strlen เป็นคำสั่งเช็คจำนวนตัวอักษร

เช่น

$sql = "select * from xxx where id =1"

เราจะนับได้ 29 ตัวอักษร หาก id เปลี่ยนเป็น 2000 ก็จะได้ 32 ตัวอักษร

ก็จะได้ช่วงตัวอักษรไม่เกิน 32

ก็เขียนเป็น
if(strlen($sql) > 32){  exit; }

ตัดจบการทำงานมันเลย

หากมี id หลักหมื่นก็เพิ่มเอา เป็น 33 34

หรือจะใช้แบบ id=$id
เช็ค strlen $id ไม่เกิน 4 ก็ได้ครับ

server 2008 ครับ

ขอฝากไว้เป็นอุทาหรครับ ( ถ้าเจอแบบนี้ให้รีบโดยทันที ช้าแม้นาทีเดียว เกลี้ยงแน่นอนครับ )  :P

มีใครใช้ zend framework ไหมครับ