Como evitar SQL Injection en nuestra consultas PHP/MySQL
SQL Injection (esp. Inyección SQL) se define como:
[…] una vulnerabilidad informática en el nivel de la validación de las entradas a la base de datos de una aplicación. El origen es el filtrado incorrecto de las variables utilizadas en las partes del programa con código SQL. Es, de hecho, un error de una clase más general de vulnerabilidades que puede ocurrir en cualquier lenguaje de programación o de script que esté incrustado dentro de otro. […] – Wikipedia.
Pueden seguir leyendo en Wikipedia donde se explica detalladamente, incluso con ejemplos. Pero agrego mi aporte con estos ejemplos:
Una consulta vulnerable:
$query = "SELECT * FROM libros WHERE autor='$autor_nombre'";
mysql_query($query);
Usando mysql_escape_string para manejar como texto las comillas, y además sprintf para dar formato a la cadena.
$query = sprintf("SELECT * FROM libros WHERE autor='%s'",
mysql_real_escape_string($autor_nombre));
mysql_query($query);
Ahora si nuestra consulta trabaja con instrucciones como: LIKE, GRANT ó REVOKE. Esta es una forma más segura:
$query = sprintf("SELECT * FROM libros WHERE autor='%s'",
addcslashes(mysql_real_escape_string($autor_nombre),'%_'));
mysql_query($query);
addcslashes muestra una barra invertida antes de las caracteres definidos en el segundo parametro de esta función.
En lo personal, creo que no es necesario el crear filtros para las consultas SQL en PHP, especialmente por que si se configura el php.ini correctamente con las magic quotes en on, el mismo sistema se encarga de filtrar las comillas agregandoles una slash.
El problema del SQL Injection lo veo más que nada en ASP más que en PHP…
Un saludo.
Un interesante dato: magic quotes en ON. No habia escuchado de ello. Gracias.
Aparte de la validación javascript antes de enviar el formulario, Para evitar que los hackers inserten código no deseado hagan sql o email injection también es recomendable hacer una validacion en el lado del servidor. Recomiendo usar una función como esta:
<?php
function ValidarDatos($campo){
//Array con las posibles cadenas a utilizar por un hacker
$CadenasProhibidas = array("Content-Type:",
//evita email injection
"MIME-Version:", "Content-Transfer-Encoding:","Return-path:","Subject:","From:","Envelope-to:","To:","bcc:","cc:",
"UNION",
// evita sql injection
"DELETE","DROP","SELECT","INSERT","UPDATE","CRERATE","TRUNCATE","ALTER","INTO","DISTINCT","GROUP BY","WHERE","RENAME","DEFINE","UNDEFINE","PROMPT","ACCEPT","VIEW","COUNT","HAVING","'",'"',"{","}","[","]",
// evita introducir direcciones web
"HOTMAIL","WWW",".COM","@","W W W",". c o m","http://",
//variables y comodines
"$", "&","*");
//Comprobamos que entre los datos no se encuentre alguna de
//las cadenas del array. Si se encuentra alguna cadena se
//dirige a la página anterior
foreach($CadenasProhibidas as $valor){
if(strpos(strtolower($campo), strtolower($valor)) !== false){
echo("
alert(‘No puede introducir direcciones web, comillas, corchetes, código de programación o cualquier dato no relativo a los campos del formulario’);
history.back();”);
exit;
}
}
}
//Asignamos la variable POST y llamada a la función Validardatos($texto)
$texto= $_POST[“texto”];
ValidarDatos($texto);
?>
martaaaa karii
Gracias por el dato jonaytom, interesante funcion.
Saludos 🙂
http://www.yuotube.com/
Excelente amigo
“por que si se configura el php.ini correctamente con las magic quotes en on”
Estás tú poco flipado.
Poner el “magic quotes” en “on” no es precisamente configurarlo correctamente: no debes confiar nunca en que la configuración esté a tu gusta; además, hace el código menos portable (puedes no tener acceso al .ini del servidor). Por último, y más importante: ESTA FUNCION DEJARÁ DE ESTAR POR DEFECTO A “ON” EN PHP 6. ESTE VALOR POR DEFECTO ESTÁ “DEPRECATED”; NI LOS MISMOS AUTORES DEL PHP LO RECOMIENDAN.
http://de.php.net/magic_quotes
Concuerdo con “Puaj”, no siempre se tiene el control del servidor y del INI.
No sean flojos, haganse una función que funcione SIN IMPORTAR LA CONFIGURACIÓN DEL SERVIDOR y olvídense de andar preguntando por ini’s o cosas por el estilo.
Por ejemplo……
function CStringSQL($string) {
if (get_magic_quotes_gpc()) {
return ” . stripslashes($string) . “;
} else {
return ” . $string . “;
}
}
Excelentes sus consejos, me sirvió de mucho. ¡Muchas Gracias y sigan adelante!
y si cambio digamos las ” ‘ ó por sus simblolos en html " < >
encontre hace unos dias una funcion en php que esla sigueinte htmlspecialchars() dice que es para renmplazar caracteres como & ” ‘ por su reprecentaciones en html eso seria suficiente locolar en cada entrada en caso de los formularios??????????????
Tu web no está nada bonita como para decir que sabes lo que sabes xD
Si usas versiones antiguas de Internet Explorer no se ve bonito, no lo he programado para esas versiones 🙂