Sql inj genellikle post veya get ile gelen verinin temizlenmeden sql komutuna çevrilmesi ile gerçekleşmektedir..
Mesala gelen verimiz $_GET['id']
Eger gelen get bilgisini dogrudan mysql işlemine sokarsanız sizin sitenizde sql inj acıgı oluşur ve admin şifresinie hatta db tablonuzu boşaltmaya kadar gider.Genelde lamerlerin kullandıgı en büyük yöntemdir..
Bu tür saldırılardan kurtulmak için 2 şey yapmanız yeterlidir..
PHP Kodu:
Kod Çizelgesi Kod Dili: php
trim(htmlspecialchars(addslashes($_GET['id'])))
Bunları ekleyince gelen html kodları ve istekleri ret eder..
Ayrıca aşagıdaki kodları .htaccess dosyanıza koyarak xss ve sql inj den kesin korunursunuz
Kod Çizelgesi Kod Dili: php
RewriteEngine on
RewriteCond %{QUERY_STRING} (\"|%22).*(\>|%3E|<|%3C).* [NC]
RewriteRule ^(.*)$ 404.shtml [NC]
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC]
RewriteRule ^(.*)$ 404.shtml [NC]
RewriteCond %{QUERY_STRING} (\;|\'|\"|\%22).*(union|insert|where|select|update |drop|md5|or|and|if).* [NC]
RewriteRule ^(.*)$ 404.shtml [NC]
RewriteRule (,|;|<|>|'|`) 404.shtml [NC]
Makale Sahibi : Webloader
