Machine Translated by Google

SQL in'ektsiyasi
UMUMIY
•
Bu eng xavfli veb-hujumdir
•
Faqat SQL Injection emas
Machine Translated by Google

---

$stmt->bind_param('ss', $_GET["id"], $_GET["pwd"]);
$natija = $stmt->execute();
$stmt = $db->tayyorlash(" ID=?
va pwd= hisob qaydnomalaridan SELECT * FROM ?")
•
Xato:
ishonchsiz maÿlumotlarni
aniq ajratib boÿlmaydi
koddan
_
SQL in'ektsiyasi
Umuman olganda, asosiy xato koddan ishonchsiz ma'lumotlarni aniq
ajratmaslikdir. OWASP tomonidan tavsiya etilgan yechim "bog'lash
o'zgaruvchilari" dan foydalanishdir. Texnika "parametrlashtirilgan so'rov"
deb ham ataladi. Yuqorida misol keltirilgan.
E'tibor bering, ushbu usul yordamida kod va ma'lumotlar o'rtasida aniq
ajratish mavjud. Kod “tayyorlash” iborasi bilan kiritiladi va u ishonchli, chunki
unda ishonchsiz maÿlumotlar yoÿq. Ma'lumotlar "bind_param" iborasi bilan
kiritiladi va biz ular ma'lumotlar sifatida ko'rib chiqilishiga ishonchimiz komil.
bog'lovchi o'zgaruvchilarning turlari: ikkita satr.
Birinchi bayonot bilan biz so'rovni "tayyorlaymiz", ya'ni so'rov ob'ekt
($stmt) bilan izohlanadi va ifodalanadi. So'rov ikkita parametrdan tashqari
("?" Belgilari) aniqlanadi.
Ikkinchi bosqichda ushbu etishmayotgan parametrlar haqiqiy qiymatlarga
bog'lanadi. Keyin so'rov bajariladi.
bind_param usulidagi "ss" parametri ni ifodalaydi
•
Asosiy qarshi chora: o'zgaruvchilarni bog'lash
Machine Translated by Google

---

- izolyatsiya
– Kirish uzunligi chegaralari
- Ma'lumotlar bazasi yoki PHP dastur tafsilotlarini
oshkor qilmang
Ma'lumotlar bazasiga ulaning va so'rovlarni
eng kam imtiyozlar
bilan bajaring