Injection SQL - vulnérabilité de site web

cheboy -  
Bonjour
Je teste la vulnérabilité d'un site web que j'ai créé moi-même et j'aimerais savoir par votre si celà est vulnérable à l'injection SQL:

Voici le site sans le signe ' :
http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63

Et quand je lui ajoute le signe ' cela donne comme message d'erreur:

Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in /var/home/common/php/common.php3(1442) : eval()'d code on line 1

Alors dites-moi s'il vous plait si c'est vulnérable à l'injection SQL

Merci

4 réponses

  1. MaximeL.
    Nous ne pourrons accéder à ton site car il s'agit d'un domaine local
    http://siteexemple/

    Envoies nous le site avec une adresse IP ou un nom de domaine à la place afin que nous puissions y accéder
    1. ThEBiShOp Contributeur
      Si dès qu'on met une quote dans ton formulaire, ça le fait planter, c'est qu'il est pas vraiment au point...
      1. cheboy
        Non ce n'est pas encore en ligne le site concerné car je m'exerce encore en local. Mais si vous devez qu'en même savoir à travers le message d'erreur là au moins non ?
        Est-ce que vous avez besoin de voir le site en ligne avant de savoir si c'est vulnérable ou pas ?

        Moi je ne connais pas grande chose en SQLi c'est pourquoi je sollicite votre aide

        Rappel:
        Voici le site sans le signe ' :
        http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63

        Et quand je lui ajoute le signe ' (http://siteexemple/index.php?doc=25&&model=30&idmerci=78&doc=63') cela donne comme message d'erreur:

        Parse error: syntax error, unexpected T_CONSTANT_ENCAPSED_STRING in /var/home/common/php/common.php3(1442) : eval()'d code on line 1

        J'attends une bonne réponse qui pourrait me mettre sur la voix

        merci
        1. ThEBiShOp Contributeur
          désolé mais on n'est pas devin, si on n'a aucune idée de ce qu'il y a dans ton code, on ne va pas te donner une solution dont on n'a pas le problème sous les yeux.
        2. MaximeL.
          En effet, et tout ce qu'on peut te dire c'est que si en rajoutant un simple > ' < dans ton code ca fait planter il y à un problème.

          Plusieurs fonctions systèmes te serviront à te protéger des attaques sql:

          Par exemple quand tu reçois une variable de type POST tu peux faire

          $mavariable = addslashes($_POST['variable']);

      Discussions similaires

      Site fiable de contrefaçon
      AhmedAMG

      2 réponses