Injection sql

Salut.
Utilise mysql_real_escape_string pour sécuriser tes variables provenant de l'utilisateur (GET, POST et COOKIE principalement) avant d'effectuer les requêtes SQL.

merci de ta reponse

Mais je dois l utiliser ou et comment

Merci de ton aide

Par exemple :

$sql = 'SELECT COUNT(*) AS nb FROM table WHERE column="'.mysql_real_escape_string($_GET['where'].'"';

Ou :

$where = mysql_real_escape_string($_GET['where']);
$sql = 'SELECT COUNT(*) AS nb FROM table WHERE column="'.$where.'";

Merci de ta reponse

mais je ne vois pas trop comment tu utilise ton where

sur mon exemple tu me conseil comment?

$sql = 'INSERT INTO vision (id, nom, serie, batie, adresse, cp, ville, département, tel, portable, demande, m2, caveradier, decoré, couvert, terrain, quand, serie, connu) VALUES("", "'.mysql_escape_string($_POST['f_1']).'", "'.mysql_escape_string($_POST['f_2']).'", "'.mysql_escape_string($_POST['f_3']).'", "'.mysql_escape_string($_POST['f_15']).'", "'.mysql_escape_string($_POST['f_16']).'", "'.mysql_escape_string($_POST['f_17']).'", "'.mysql_escape_string($_POST['f_4']).'", "'.mysql_escape_string($_POST['f_5']).'", "'.mysql_escape_string($_POST['f_18']).'", "'.mysql_escape_string($_POST['f_6']).'", "'.mysql_escape_string($_POST['f_7']).'", "'.mysql_escape_string($_POST['f_8']).'", "'.mysql_escape_string($_POST['f_9']).'", "'.mysql_escape_string($_POST['f_10']).'", "'.mysql_escape_string($_POST['f_11']).'", "'.mysql_escape_string($_POST['f_12']).'", "'.mysql_escape_string($_POST['f_13']).'", "'.
mysql_escape_string($_POST['f_14']).'" )';
mysql_query($sql) or die('Erreur SQL !'.$sql.'<br />'.mysql_error());

exit();

Merci

Comme tu l'as fait, c'est correct.
Si tu veux alléger un peu tes requête, il faudra stocker le résultat de mysql_real_escape_string() dans des variables. Dans mon exemple, j'en avais qu'une seule : $where. Mais sur le tiens, tu auras besoin d'autant de variables que de mysql_real_escape_string().

Pour rendre ton code plus clair, je te propose de faire comme ceci. C'est plus long mais ça facilite la lecture :

$sql = 'INSERT INTO vision (
	id,
	nom,
	serie,
	batie,
	adresse,
	cp,
	ville,
	département,
	tel,
	portable,
	demande,
	m2,
	caveradier,
	decoré,
	couvert,
	terrain,
	quand,
	serie,
	connu
) VALUES(
	"",
	"'.mysql_escape_string($_POST['f_1']).'",
	"'.mysql_escape_string($_POST['f_2']).'",
	"'.mysql_escape_string($_POST['f_3']).'",
	"'.mysql_escape_string($_POST['f_15']).'",
	"'.mysql_escape_string($_POST['f_16']).'",
	"'.mysql_escape_string($_POST['f_17']).'",
	"'.mysql_escape_string($_POST['f_4']).'",
	"'.mysql_escape_string($_POST['f_5']).'",
	"'.mysql_escape_string($_POST['f_18']).'",
	"'.mysql_escape_string($_POST['f_6']).'",
	"'.mysql_escape_string($_POST['f_7']).'",
	"'.mysql_escape_string($_POST['f_8']).'",
	"'.mysql_escape_string($_POST['f_9']).'",
	"'.mysql_escape_string($_POST['f_10']).'",
	"'.mysql_escape_string($_POST['f_11']).'",
	"'.mysql_escape_string($_POST['f_12']).'",
	"'.mysql_escape_string($_POST['f_13']).'",
	"'. mysql_escape_string($_POST['f_14']).'"
)'; 
	
mysql_query($sql) or die('Erreur SQL !'.$sql.'<br />'.mysql_error()); 

OK merci effectivement c est plus clair comme ca

On va faire plus simple je prends seulement sur 2 requete mais je ne vois pas ou utiliser ta variable "'.mysql_real_escape_string($_GET['where'].'"

$sql = 'INSERT INTO vision (
id,
nom,
) VALUES(
"",
"'.mysql_escape_string($_POST['f_1']).'",
"'.mysql_escape_string($_POST['f_2']).'",
)';

mysql_query($sql) or die('Erreur SQL !'.$sql.'<br />'.mysql_error());

Encore une question pour fermer ma requete je dois utiliser
exit();

ou
mysql_close();

Merci beaucoup de ton aide

Pour se protéger, toute les données envoyés par l'utilisateur doivent être passées par mysql_escape_string(), et intval() si c'est des données numériques.

Merci de votre reponse je viens de la changer et ca fonctionne

Par contre je suis entrain de modifier mes autres formules et la ca coince

actuel
$requete1 = mysql_query("SELECT * FROM $table_name WHERE serie='$serie' ORDER BY $table_col ASC LIMIT ".$limite1.", ".$limite2."") or die(mysql_error());

modification
$requete1 = mysql_query("SELECT * FROM $table_name WHERE serie="'.mysql_real_escape_string('serie').'" ORDER BY $table_col ASC LIMIT ".$limite1.", ".$limite2."") or die(mysql_error());

Par contre pour cette question vous ne m avez pas donne de reponse

ncore une question pour fermer ma requete je dois utiliser
exit();

ou
mysql_close();

Merci de votre aide

merci de ta reponse mais j avais aussi essaier

voici l erreur

Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in

Merci

merci de ta reponse effectivement maintenant ca fonctionne

La nouvel ecriture que tu m as donner correspond a quoi php5?

Pour la fermeture de la base de donne le mieu est exit() ou mysql_close();

Merci pour ton aide

Merci de ton aide

JE vais modifier toutes mes pages et je te tiens au courant

Merci pour tous

Voila je veins de modifier tous mes fichier j ai refait le test avec havij et je n est plus acces a ma base de donné niquel merci

Maintenant j aimerais savoir si mon site est sur et si tu connais d autre logiciel d injection sql pour tester tous cela

Merci de ton aide