problema di sicurezza mysql?

[dany-]

Ciao, stavo sistemando alcune pagine nel mio sito e m'è venuto all'improvviso un dubbio per una possibile situazione che potrebbe avere dei risvolti inquietanti.

Supponiamo di chiamare una pagina col suo indirizzo:

www.sito.it/pagina.php?start=1&num=10

e che all'interno della pagina ci sia una query del tipo (passatemi la sintassi semplificata, spero che si capisca:

SELECT * FROM utenti LIMIT $_GET['start'],$_GET['num'] 

Se sulle variabili $_GET usate non c'è alcun controllo, si può incorrere in qualche problema di sql injection o comunque aggiungere qualcosa alla query che viene usata nella pagina??

Grazie, ciao

[piero.mac]

certo che si. ma nel tuo caso avresti solo la possibilita' di cambiare il valore numerico e LIMIT accetta solo quelli. Al massimo riceverebbero un output non previsto ma anche un errore eventuale. Non e' mai conveniente passare direttamente alla query i valori in GET od in POST senza dare una controllata preventiva

c'e una guida sulla sicurezza:

http://sicurezza.html.it/guide/leggi...icurezza-lamp/

[dany-]

Mhm.. questa cosa non l'avevo considerata..

Grazie x il link al tutorial sulla sicurezza, me lo leggo quanto prima