Muchos de Ustedes han escuchado hablar del famoso SQL Injections , y más de uno se pregunta ¿Qué quiere decir eso?
La Inyeccion de sql son códigos, mejor dicho son SCRIPS que ultilizan los "hacker" para modificar , extraer o manipular tablas en nuestra base de datos.
¿Como lo hacen?, muy fácil si ustedes se ponen a pensar cuando creamos una cuenta por la página WebMU, nuestros datos viajan en .php atraves de variables hacía la .DB (Data Base = Base de Datos) esa es la conexión que tiene la página WebMU a nuestra Base de Datos que por defecto todos llaman MuOnline.
Los inyectores se ejecutan de esa manera, en vez de enviar los datos de la cuenta envian otros.
mssql_connect(..);
mssql_select_db(..);
$account = $_POST['acc']; // Usuario
$password = $_POST['pass']; //Password
// Otras variables
$query = mssql_query("select count(*) from [memb_info] where [memb___id]='$account'");
?>
Ese es un ejemplo claro de envio de datos de un sitio a una Base de Datos
En la primera linea se conecta a la base de datos y en la segunda linea, luego tenemos las variables $cuenta $ password.
Las inyecciones pueden ser hechas en un $_POST, $_GET , $_REQUEST, $_COOKIE o a cada valor que el usuario puede tener acceso.
Una solución a esto es utilizar "addslashes()" que devuelve una cadena con barras invertidas delante de los carácteres que necesitan escaparse en situaciones como consultas de bases de datos, etc. Los carácteres que se escapan son la comilla simple ('), comilla doble ("), barra invertida (\) y NUL (el byte NULL)
En la actualidad, este tipo de verificaciones, ya están aplicadas en le WebMU que nosotros utilizamos, es decir que luego del $_POST se realiza una verificación de los datos ingresados por el usuario para "chequiar", "verificar" que no contiene pricipios de códigos inyectables, por ejemplo así:
;' xxxx --
Espero que les sirva, será hasta el próximo tutorial by asd*














