Sql İnjection işlemlerinin önüne geçilmeli

[YasinKose]

Where methoduyla $where değişkeni içerisine depolanan verileri sorgulama sırasında string olarak işlediğiniz için(BKNZ) maalesef SQL Injection saldırılarından kaçamıyorsunuz 😒

Daha evvel kullandığım projenin verilerinin çekilebileceğini öğrendiğim zaman inceleme gereği duydum ve maalesef böyle bir şey ile karşılaştım. Sql çekme denemesini kendi projem üzerinde SqlMap betiği ile gerçekleştirdim.

Çözüm önerisi:
quote fonksiyonu ile gelen stringleri escape edebilir veyahut $string = str_replace("'","\'",$string); yöntemiyle gerekli gördüğünüz stringleri temizleyerek bu açıktan sıyrılabilirsiniz.

İyi eğlenceler!

[unirase]

Örnek bir paylaşım yapar mısınız açıklar kapatılmış haliyle ?