Sql Server - "Proteger" queries com PHP

[nunolevezinho]

Boas, tenho andado a tentar arrnjar uma maneira de tentar limpar minimamenteas minhas queries para que os utilizadores nao insiram algo tao basico como : ‘ OR ’1′ = ’1 ou ‘; drop table users;

Só que não estou a conseguir porque eu uso MSSQL e não existe a função

mysql_real_escape_string

para MSQL. Tentei usar PDO's mas também não têm o driver para MSSQL.

Existe alguma outra maneira de limpar as queries minimamente? Não preciso nada de muito elaborado..

Edited May 30, 2012 at 09:24 AM by nunolevezinho

[Ricardo Gonçalves]

boas,

ve se o que tu queres não está aqui nestes exemplos :

http://www.php.net/manual/pt_BR/function.mysql-real-escape-string.php

cumps,

Ricardo Gonçalves

[MASNathan]

Olá, a função

mysql_real_escape_string

não é uma função do sql, mas sim do php! Exemplo

<?php

$nome =  mysql_real_escape_string($_POST['nome']);

$query = 'SELECT * FROM tb_users WHERE nome = ' . $nome;

[nunolevezinho]

Olá, a função

mysql_real_escape_string

não é uma função do sql, mas sim do php! Exemplo

<?php

$nome =  mysql_real_escape_string($_POST['nome']);

$query = 'SELECT * FROM tb_users WHERE nome = ' . $nome;

Então devo estar a fazer alguma coisa mal porque já experimentei isto:

$var = "Mc'Donalds";
echo "Var normal: ".$var."</br>";
$var = mysql_real_escape_string($var);
echo "Var protegida: ".$var;

Output:

Var normal: Mc'Donalds
Var protegida:

Edit: Tens a certeza que isso é funciona em MSSQL? Porque eu li umas coisas como:

Unfortunately, as of right now, PHP mssql extension neither supports parameterized queries nor has an escape function.

Edited May 30, 2012 at 09:34 AM by nunolevezinho

[Ricardo Gonçalves]

Então devo estar a fazer alguma coisa mal porque já experimentei isto:

$var = "Mc'Donalds";
echo "Var normal: ".$var."</br>";
$var = mysql_real_escape_string($var);
echo "Var protegida: ".$var;

Output:

Var normal: Mc'Donalds
Var protegida:

Edit: Tens a certeza que isso é funciona em MSSQL? Porque eu li umas coisas como:

Unfortunately, as of right now, PHP mssql extension neither supports parameterized queries nor has an escape function.

tenta assim não sei se é a mesma coisa ou não :

$var = "Mc'Donalds";
echo 'Var normal: '".$var."'</br>';
$var = mysql_real_escape_string($var);
echo 'Var protegida: '.$var;

Edited May 30, 2012 at 12:20 PM by brunoais
geshi!

[nunolevezinho]

tenta assim não sei se é a mesma coisa ou não :

$var = "Mc'Donalds";
echo 'Var normal: '".$var."'</br>';
$var = mysql_real_escape_string($var);
echo 'Var protegida: '.$var;

Não estás a entender amigo, para usar o mysql_real_escape_string preciso de uma conecção mysql activa, mas como já disse, eu uso mssql, é diferente e por isso ela nao funciona.

Por exemplo:

Dá este aviso porque eu uso mssql e nao mysql.

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Can't connect to MySQL server on 'localhost' (10061)

Entendeste?

A minha duvida é se existe alguma outra função que faça algo parecido mas em mssql?

Edited May 30, 2012 at 09:48 AM by nunolevezinho

[Ricardo Gonçalves]

Tens a conexão feita á base de dados?

Se não tens conexão á BD faz como está neste link:

http://ajuda.uolhost.com.br/index.php?p=resposta&res=718#rmcl

[nunolevezinho]

Por exemplo:

Dá este aviso porque eu uso mssql e nao mysql.

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Can't connect to MySQL server on 'localhost' (10061)

E sim tenho a ligação feita e a funcionar..

[MASNathan]

Vê isto http://stackoverflow.com/questions/574805/how-to-escape-strings-in-mssql-using-php

e se não for suficiente procura por "mysql_real_escape_string for mssql"

[johnmaia]

http://stackoverflow.com/questions/574805/how-to-escape-strings-in-mssql-using-php

[nunolevezinho]

Vê isto http://stackoverflow...mssql-using-php

e se não for suficiente procura por "mysql_real_escape_string for mssql"

Eu já tinha visto esse site e não consegui implementar bem, obrigado na mesma, mas acabei por fazer uma função eu mesmo..

function mssql_escape($str)
{
   $str= stripslashes($str);
   return str_replace("'", "", $str);
}

[MASNathan]

function mssql_escape($str)
{
$str= stripslashes($str);
return str_replace("'", "", $str);
}

atenção podes também ter de fazer o replace ás " depende de como estás a usar o codigo

[nunolevezinho]

atenção podes também ter de fazer o replace ás " depende de como estás a usar o codigo

As minhas queries são do tipo:

$sql_query = "SELECT * FROM tabela WHERE campo1 ='$variavel' ";

No meu caso funciona certo?

[MASNathan]

Sim... à partida não há problema

[mjamado]

Sim... à partida não há problema

Pelo contrário, à partida vai haver problemas...

A protecção pelo escape é tudo menos segura. Em concreto, esse exemplo é vulnerável a ataques em UTF-8: se $variavel for "¿'; DROP TABLE tabela; #", vais ficar sem a tabela.

Porquê? Porque, ao escapar a plica, vais inserir um caratere UTF-8, a saber ¿ + \ = 뽜. Podes proteger-te melhor usando as funções multibyte do PHP, mas existem ataques ainda mais complexos.

Só há duas maneiras de ficares completamente protegido de ataques SQLi: não usar SQL, ou usar prepared statments. Tudo o resto é, mais tarde, ou mais cedo, objecto de ataque bem sucedido.

Edited May 30, 2012 at 04:32 PM by mjamado

[johnmaia]

Lê a resposta que deram aqui:

http://stackoverflow.com/questions/7216239/prevent-mssql-injection-in-php

[brunoais]

Só há duas maneiras de ficares completamente protegido de ataques SQLi: não usar SQL, ou usar prepared statments. Tudo o resto é, mais tarde, ou mais cedo, objecto de ataque bem sucedido.

Usar stored procedures ou usar prepared statements. Isso de n usar SQL acho q n é útil... Acaba por ser como no caso do computador mais protegido é aquele q está desligado.

Lê a resposta que deram aqui:

http://stackoverflow.com/questions/7216239/prevent-mssql-injection-in-php

Qual?

Edited May 30, 2012 at 04:40 PM by brunoais
Um novo quote aparece....

[mjamado]

Isso de n usar SQL acho q n é útil... Acaba por ser como no caso do computador mais protegido é aquele q está desligado.

Peço desculpa, esqueci-me da tabuleta:

*--------*
| IRONIA |
*--------*
   ||
   ||
   ||

Edited May 30, 2012 at 04:58 PM by mjamado

[johnmaia]

Usar stored procedures ou usar prepared statements. Isso de n usar SQL acho q n é útil... Acaba por ser como no caso do computador mais protegido é aquele q está desligado.

Qual?

Esta por exemplo:

I would suggest start using PDO. this way you could use parametrized query which will take care of almost everything for you including SQL injection plus it supports a very large RDBMS including MSSQL.

Here are some of the topic to get you started.

http://net.tutsplus.com/tutorials/php/why-you-should-be-using-phps-pdo-for-database-access/

http://www.php.net/manual/en/book.pdo.php

Edited May 30, 2012 at 06:15 PM by johnmaia

[brunoais]

Esta por exemplo:

Só que não estou a conseguir porque eu uso MSSQL e não existe a função

mysql_real_escape_string

para MSQL. Tentei usar PDO's mas também não têm o driver para MSSQL.