Podrška

SQL injection je napad u kojem se maliciozni kod ubacuje u SQL server kako bi se izvršio. Rezultat napada je neautorizovani pristup poverljivim podacima ili uništenje važnih podataka.

Pre nego što nastavite sa čitanjem navedenih metoda, uzmite u obzir da je ovo pre svega briga PHP developera i sličnima. Ako koristite neke od CMS sistema (npr. WordPress, Joomla, OSCommerce), onda sve što treba da uradite jeste da ih update-ujete na poslednju verziju koja je dostupna.

Jedan od načina da sprečite injection jeste da izbegnete (escape-ujete) opasne karaktere (npr. kosa crta, apostrof  i tačka-zarez). U PHP-u je standardno da se escape radi funkcijom mysql_real_escape_string pre nego što se izvrši SQL query.

Primer

$myUname = mysql_real_escape_string($Uname);
$myPword = mysql_real_escape_string($Pword);
$query = "SELECT * FROM Users where UserName='$myUname' and Password='$myPword'";
mysql_query($query);