EOMY.NET

[lazutov]

Здравствуйте.
Чем Вы лично в своих скриптах проверяете, например, выведенный пользователем отзыв в гостевую книгу?
Достаточно ли htmlspecialchars и addslashes при работе с Mysql?
Спасибо.
_________________
сервис DNS | разные http, DNS и прочие утилиты

[Артур]

Чтоб вырезать теги я использую
strip_tags()
_________________
Скрипты [PHP/JS] на заказ, в ЛС, недорого.

SAPE

[Alek$]

uforum
где-то читал, что strip_tags() не всегда корректно вырезает теги.

lazutov
для предотвращения sql инъекций рекомендуется пользоваться mysql_real_escape_string(), а от XSS достаточно htmlspecialchars()
_________________
Самая страшная ошибка - это ошибка без видимых причин и конкретных последствий.
phpBB3 [db_update.php generator]
phpBB3 [Russian]
Антисоциальный блог

[Александр Михалицын]

Alek$,
хм, а можно ли совершить SQL-инъект
если входящие данные обрабатываются через addSlashes?
Мне кажется нет...
_________________
Пригласительные коды

[Gosudar]

Александр Михалицын можно.
addSlashes все лишь экранирует спецсимволы.
_________________
R3-born

[[LP]LordPro.teus]

А при простом mysql_escape_string, если все значения идут в апострофах (в них вроде всякая бяка вроде \n не может сработать принципиально...)?
_________________

До выхода LiteDiary 0.3.0: парам-пам-пам-пам! Она уже здесь!

[Александр Михалицын]

Gosudar,
ну вот.. тогда смысл юзать
всякие специфичные функции?
Есть аддслашес его и юзаем!
А все эти стрип тагс итд
это медленнее работает!
_________________
Пригласительные коды

[[LP]LordPro.teus]

Александр Михалицын
тебе только что обьяснили, что провести SQL-иньекцию при addslashes - раз плюнуть
_________________

До выхода LiteDiary 0.3.0: парам-пам-пам-пам! Она уже здесь!

[Gosudar]

В большинстве случаев addslashes достаточно. Но...
Вот кстати ещё специфический пример когда addslashes не помогает - http://habrahabr.ru/blogs/webdev/40458/

[Веденин]

Кстати я против SQL инекций кроме подобных функций использую раздление прав поьзователей, т.е. у меня есть пользователь, который имеет право только на команду Select в одной из MySQL баз, есть пользователь который имеет права только на команду Insert и т.д. В результате даже если сумеют сделать SQL инекцию команда скорее всего просто не выполнится (так как очень редко команда инекции совпадает с командой запроса), кроме того я никогда не даю одному пользователю прав больше чем на одну базу и стараюсь разделять данные, которые никогда не меняются или меняются только админом (типа страниц сайта или паролей) и данные, которые могут менять пользователи типа коментариев и соответсвенно делаю две разные базы с разными пользователями, в результате SQL инекция может изменить только неболшую часть данных. Естественно, скрипты админа спрятаны в директории с паролем и сами содержат кучу проверок до первого выполнения любого SQL запроса.

P.S. Конечно, иногда приходится делать несколько соединений на странице к MySql, зато это окупается безопасностью
_________________
Написание конвекторов, парсеров, интеграции нескольких сайтов (в личку)

Тематические поисковые системы Рунета: Танцевальная, программиста, поиск книг

[Alek$]

Веденин
это уже параноидальный подход. Пользователей SELECT и INSERT стоит объединить как минимум для того, чтобы не создавать всякий раз два соединения, поскольку это довольно ресурсоемкая операция.
_________________
Самая страшная ошибка - это ошибка без видимых причин и конкретных последствий.
phpBB3 [db_update.php generator]
phpBB3 [Russian]
Антисоциальный блог

[Веденин]

Ну во первых ситуации когда надо сразу делать в одном скрипты и insert и select не так уж часто встречаются, чаще надо или выбрать данные или занести их в БД (например добавление пользователем комментария это один скрипт, а получение страницы совсем другой ), конечно все зависит от структуры БД и сайта, но как минимум если не нужена например команда update, то не в коем случае не надо давать прав на неё (а уж не говорю о create, delete и alter table или создание новых пользователей).

P.S. Если в одном скрипте нужен сразу и insert и select объединить права можно, но в других скриптах лучше пользоватся отдельнымы правами.

P.P.S. Я работаю с SQL уже пять лет и ИМХО всегда лучше потерять чуть чуть производительности, чем допустить дыру в безопасности
_________________
Написание конвекторов, парсеров, интеграции нескольких сайтов (в личку)

Тематические поисковые системы Рунета: Танцевальная, программиста, поиск книг

[Alek$]

Веденин
два соединения с mysql - это не чуть-чуть. Это в два раза.
А насчет минимализации прав - тут полностью согласен.
_________________
Самая страшная ошибка - это ошибка без видимых причин и конкретных последствий.
phpBB3 [db_update.php generator]
phpBB3 [Russian]
Антисоциальный блог

[Веденин]

[Alek$]

Веденин
зато потребление памяти ровно в два раза
В общем, если вы пишете что-то мега важное и мега секретное, то такой подход оправдан. А в обычной гостевой книге, скажем, он излишен.
_________________
Самая страшная ошибка - это ошибка без видимых причин и конкретных последствий.
phpBB3 [db_update.php generator]
phpBB3 [Russian]
Антисоциальный блог