[Resolvido] Anti-SQL Inject para textarea com editor WYSYWYG

[I-NOZex]

Pois bem tava aqui eu a trabalhar e tal, e surgiu uma duvida a nivel de segurança...

para os outros campos, get's, post's e associados estou a usar esta função:

    function anti_injection($sql, $formUse = true)
   {
   // remove palavras que contenham sintaxe sql
   $sql = preg_replace("/(from|select|insert|delete|where|drop table|show tables|like|grant|revoke|#|\*|--|\\\\)/i","",$sql);
   $sql = trim($sql);//limpa espaços vazio
   $sql = strip_tags($sql);//tira tags html e php
   if(!$formUse || !get_magic_quotes_gpc())
    $sql = addslashes($sql);//Adiciona barras invertidas a uma string
   return $sql;
   }

mas o problema é que eu estou a usar um editor visual de html (o tinymce mais precisamente), sendo assim, vai ter de passar dados html, e nao sei como fazer para tornar essa transmissao de dados segura...

ja agora esse campo que recebe os dados html, está no tipo memo, talves se usar o tipo blob seja melhor?

Aguardo opiniões

[HappyHippyHippo]

já pensaste que se o texto processado for em inglês estás a remover palavras bastante usadas como from ou select ???

caso não gostes de PDO ou outro sistema de prepared statements, o método normal de detecção de SQL injection é a verificação da terminação da string:

exemplo:

$string = "i'am Paul";
$sql = "insert into my_table(name) values('{$string}')";
echo $sql; // insert into my_table(name) values('i'am Paul')
//                                                A
//                                                |
//                                              Erro no SQL

um exemplo de SQL injection seria:

$string = "'); drop table my_table; --";
$sql = "insert into my_table(name) values('{$string}')";
echo $sql; // insert into my_table(name) values(''); drop table my_table; --')
//                                                 A  A                     A
//                                                 |  |                     |
//                                        Fim da SQL  |                     |
//                                                    Apagar a tabela       |
//                                                                         O resto é dado como comentário

como vês, o problema é bvem complicado. e é por isso que se usa os preparred statements

conclusão : usa-os

[I-NOZex]

sim, mas aqela funçao é para campos que nao vao levar essas palavras, ja o editor de texto pode levar provavelmente!

nao estou a usar o PDO, estou a usar Mysqli com uma classe recriada com o uso de prepared statments, mas o meu medo é ali o editor de texto, pois quanto a input's, gets e posts eu sei bem como defender de injecçoes, ja apanhei muitos sites assim, para aprendizagem didatica apenas, mas nunca tinha usado textareas para meter dados na DB, e tenho medo de certas coisas, como o inject mas tambem o xss...

btw, encontrei duas soluçoes:

http://www.tinymce.com/forum/viewtopic.php?id=28909

http://htmlpurifier.org/demo.php

qual recomendarias?

Edited October 10, 2012 at 02:46 PM by I-NOZex

[HappyHippyHippo]

a que te sentires melhor.

por não usar TinyMCE, não posso recomendar um ou outro (assim como não conheço o segundo link)

[I-NOZex]

eu o 2º ja tinha passado por ele a uns tempos, mas nao sei bem como o implementar...

visto que o 1º ta nos foruns de suporte php do tinymce, acho que vou usar esse...

qualqer das formas, este editor é para uma backstage, so admins vao acedelo, mas convem obviamente, sempre garantir que está seguro.

Bem, qualqer das formas, obrigado pela tua opiniao 😉

so uma ultima qestao antes de resolver, na db o campo está como memo, achas que está bem? ou devia de ser de outro tipo? tipo blob,,,

[HappyHippyHippo]

não conheço o tipo memo, isso é MSSQL ?

se for MySQL, vê aqui o que pretendes : http://dev.mysql.com/doc/refman/5.0/en/string-type-overview.html

como deverá ser texto, a escolha directa seria text ou longtext

[I-NOZex]

lol nao sei onde fui buscar isso xDD

tava a fazer confusao com mssql sim, o campo esta no tipo texto, com o comprimento maximo...

entao pronto, está tudo resolvido, novamente obrigado pela a ajuda 😉

[pikax]

não conheço o tipo memo, isso é MSSQL ?

acho que e' do access http://www.w3schools.com/sql/sql_datatypes.asp

[brunoais]

Se não gostas de prepared statements (n vejo a verdadeira razão) usa isto:

http://php.net/manual/en/mysqli.real-escape-string.php

Não uses o que fizeste.