コメントフィールドにSQLインジェクション

Question

2つのフィールド（タイトルとコメント）からなるコメントフォームがあります。データベースにはID、タイトル、コメントの3つの列があります。コメントは、それが適切にmysql_real_escape_stringのを使用して、SQLインジェクションのために確保されているdomain.com/index.php?id=sometitle

タイトルフィールドのようなtitleだが、テキストエリアで、コメント欄にはエスケープせずに開いたままにされるに基づいて表示されます。私はそれをエスケープすることができますが、私はその題名が既にエスケープされていることを知って、そのフィールドにmysql_real_escape_stringを使わずにそのまま放置すると、出力がどのように取得されるのかを知ることができますか？

Answer 1

誰かがこれをあなたのテキストエリアに入力するとどうなるでしょう。

some comment');DELETE FROM COMMENTS;-- 

コメントを挿入するためのクエリが

INSERT INTO Comments(Title,Comment) VALUES('$title','$comments'); 

のようなものだったなら、あなたは問題があるでしょう。結果のクエリは

INSERT INTO Comments(Title,Comment) VALUES('some title','some comment');DELETE FROM COMMENTS;--' 

以上読みやすい形式で

INSERT INTO Comments(Title,Comment) VALUES('some title','some comment'); 
DELETE FROM COMMENTS;--' 

それをレイアウトするだろう - 」末端に、まさにそれだろう余分なSQLを取り除くために、コメントを作成し、それが適切に解析されないようにします。

Answer 2

すべてのエスケープされていない文字列を使用してSQLを挿入できます。

Answer 3

誰かがテキスト領域でSQLインジェクションを使用すると、データがデータベースに送信されたときにSQLインジェクションが実行されるため、最初にエスケープする理由があります。

Answer 4

エスケープします。ユーザーがコメントを投稿していると仮定すると、コメントセクションには注入の脆弱性があり、コメントを表示する要求ではなくフォームを投稿すると実行されます。

Answer 5

フィールドをエスケープしないでください。フィールドがリンクされているかどうかは関係ありません。クエリが形成されるまでに、インジェクタはパスワードフィールドなどを返すことができます。

SQLインジェクションを使用する試みをすべてクリアするには、ストアドプロシージャを使用する必要があります。アクセス権がある場合は、PDOを使用する必要があります。