Sql injeksiyon dedikleri benim başıma gelir mi ?

hakanizm · 23 Mart 2008

Bütün sorgularımı aşağıdaki gibi yapıyorum. Yani sanırım stored prosedure kullanmıyorum. Aşağıdaki normal aspx dosyası içerisinde kullandığım komutlar sql injeksiyon açığı mıdır ? Sitemi hekleyebilirler mi ?

PortakalSelect = New SqlCommand("Select Bresim, HaberId, ArsivTarihi, KategoriId, Kategoriler, Yazi, Rate, SUBSTRING(Baslik, 1, 60) as SPORTekBaslikTmp From items WHERE ArsivTarihi=(SELECT ogun FROM online) And KategoriId = 4 ORDER by Baslik", Portakalcon)

fan · 23 Mart 2008

sqle dışardan veri almıyosunki bişey olsun

hakanizm · 23 Mart 2008

dışarıdan veri almaktan kastettiğin şey tam olarak nedir ?
başka bir siteden xml falan çekmek gibi birşey mi ?

acemiyim · 24 Mart 2008

hayır querystring veya form üzerinden veri almaktan bahsediyor.

hakanizm · 24 Mart 2008

Ben şimdi .aspx dosyamda aşağıdaki kodları da kullanıyorum. Bahsettiğiniz şey yoksa bu kodları kullanmak mı oluyor ?

GelenKatAd = Request.QueryString("KatAd")
GelenKatId = Request.QueryString("KatId")
GelenTarih = Request.QueryString("Tarih")

fan · 24 Mart 2008

evet o bilgileri ziyaretçilerden alıyorsan filtre uygulaman gerekli zararlı kodları engellemek için.

local · 24 Mart 2008

GelenKatId = cint(Request.QueryString("KatId")) bu şekilde önleyebilirsin.

hakanizm · 24 Mart 2008

Local Hay Allah senden Razı Olsun... Yani bu kadar kolay önlemek

Birisi baya bi kod yazmıştı başka bir yerde moralim bozulmuştu

DincerAydogdu · 24 Mart 2008

Konuyla ilgili şurada bir cevabım var.
http://forum.iyinet.com/asp-net/87900-mssql-de-bu-kodlarla-injeksiyon-yer-miyim.html

hakanizm · 2 Nisan 2008

Teşekkürler.

Ozcan · 12 Nisan 2008

Bu arama sorguları için mi geçerli oluyor?
Sql injeksiyon yani drop ,truncate komutlarının araya sokulmasından mı oluyor

.

$ara = mysql_query("select * aranan where ara=$_GET[ara]'") or die(mysql_error());
Bu komut ta araya nasıl giriyor ?

OnurSQL · 12 Nisan 2008

Ozcan' Alıntı:
Bu arama sorguları için mi geçerli oluyor?
Sql injeksiyon yani drop ,truncate komutlarının araya sokulmasından mı oluyor .

$ara = mysql_query("select * aranan where ara=$_GET[ara]'") or die(mysql_error());
Bu komut ta araya nasıl giriyor ?

PHP:

function temizle($deger) {
	$deger = trim($deger);
	if(get_magic_quotes_gpc()) {
       	$deger = stripslashes($deger);
        }
	return mysql_real_escape_string($deger);
}
$ara = mysql_query("select * aranan where ara='".temizle($_GET['ara'])."'") or die(mysql_error());

Yukarıda verdiğim fonksiyonu kullanarak değiştir o kodu.