Inyección SQL

Article View: es.comp.bd.misc

Article #97

#97

From: Gothic Armor
Date: Wed, 29 Mar 2006 20:44

17 lines
2062 bytes

Estamos estudiando crear una funci�n de validaci�n para campos de 
formularios, de tal forma que eviten la Inyecci�n SQL. Despu�s de buscar 
por internet informaci�n al respecto, y realizar una peque�a prueba de 
PHP contra MySQL, nos ha sorprendido ver que autom�ticamente (con la 
versi�n 4.2.1 de PHP) el caracter <'> lo sustituye por <\'>, impidiendo 
de esa forma la Inyecci�n.
Nuestra duda es:
1.- �El PHP est�, por lo tanto, protegido por defecto contra la Inyecci�n?
2.- Una inyecci�n del tipo: <'; delete from nombretabla; --> a�n tiene 
sentido, ya que quedar�a: WHERE usuario = '\'; delete from nombretabla; 
-- AND contrase�a = ''>. Sin embargo el MySQL lo bloquea, �significa eso 
que MySQL solo ejecuta una consulta cada vez?
3.- �Esta vulnerabilidad s�lo est� presente en ASP contra MS SQL SERVER? 
�Se evitar�a con la sustituci�n de <'> por <\'> como en PHP?

Un saludo, y gracias de antemano,
      �ngel

Technical Details

Message-ID: <2nCWf.45182$466.22836@twister.auna.com>

Path:

arc1-ca.pugleaf.net!g2news1.google.com!news2.google.com!news.maxwell.syr.edu!newsfeed.icl.net!news.tele.dk!news.tele.dk!small.news.tele.dk!news.astraweb.com!newsrouter-eu.astraweb.com!193.201.147.66.MISMATCH!news-out2.kabelfoon.nl!newsfeed.kabelfoon.nl!bandi.nntp.kabelfoon.nl!teleglobe.net!62.81.31.29.MISMATCH!cyclone.auna.com!twister.auna.com!53ab2750!not-for-mail

Show Full Headers

Complete Article Headers

X-Google-Thread: 106e2f,b29480b0642dafa4,start
X-Google-Attributes: gid106e2f,public
X-Google-Language: SPANISH,ASCII
Path: arc1-ca.pugleaf.net!g2news1.google.com!news2.google.com!news.maxwell.syr.edu!newsfeed.icl.net!news.tele.dk!news.tele.dk!small.news.tele.dk!news.astraweb.com!newsrouter-eu.astraweb.com!193.201.147.66.MISMATCH!news-out2.kabelfoon.nl!newsfeed.kabelfoon.nl!bandi.nntp.kabelfoon.nl!teleglobe.net!62.81.31.29.MISMATCH!cyclone.auna.com!twister.auna.com!53ab2750!not-for-mail
From: Gothic Armor <mio@mio.com>
User-Agent: Thunderbird 1.5 (Windows/20051201)
MIME-Version: 1.0
Newsgroups: es.comp.bd.misc
Subject: Inyección SQL
Content-Type: text/plain; charset=ISO-8859-1; format=flowed
Content-Transfer-Encoding: 8bit
Lines: 17
Message-ID: <2nCWf.45182$466.22836@twister.auna.com>
Date: Wed, 29 Mar 2006 22:44:52 +0200
NNTP-Posting-Host: 62.101.161.40
X-Complaints-To: abuse@auna.es
X-Trace: twister.auna.com 1143665214 62.101.161.40 (Wed, 29 Mar 2006 22:46:54 MEST)
NNTP-Posting-Date: Wed, 29 Mar 2006 22:46:54 MEST
Organization: AUNA TLC