SQL Injection - Questo script è protetto?

[LuckySevenRoX]

Salve, ho letto qualche articolo sull'SQL Injection e ho capito che, senza i dovuti accorgimenti, una query di questo tipo può essere facilmente "attaccata":

$query = "SELECT * FROM users WHERE user='".$_POST['user']."' AND pwd='".$_POST['pwd']."'";

La mia domanda ora è questa: uno script PHP di questo tipo è inattaccabile?

                        $Utente = $_POST['user'];
                        $Password = $_POST['pass'];
			$query="SELECT Password FROM Giocatori where Nome = '$Utente'";
			$equ=mysql_query($query);
			$conta = mysql_num_rows($equ);
			$risultati = mysql_fetch_row($equ);

			if ($conta == 1) {
				if ($Password == $risultati[0]) {	
					... //Login Effettuato
				} else {
					... //Login Errato

Considerando che il login avviene in "due tempi" (prima si estrae la password dal nome utente POI in seguito si confronta con quella inserita nella casella di testo) si può considerare come script sicuro? Oppure c'è il modo di attaccarlo?

Grazie in anticipo per le risposte

[deleted_29]

certo che sì, è proprio sbagliata in radice l'idea di far eseguire un comando qualsiasi SQL "alla cieca".

[LuckySevenRoX]

Scusami credo di non aver capito, "certo che si" vuol dire "certo che è attaccabile"? Potresti farmi capire meglio in che modo è attaccabile?

un'altra cosa: i DB MySQ sono più sicuri perchè non fanno eseguire più di una query sulla stessa chiamata vero? anche in quel caso questo script risulterebbe fallato?

Grazie

[Habanero]

Vuole dire che non devi solo pensare all'autenticazione in sé...
se non filtri il campo 'user' è comunque possibile iniettare e modificare il comando SQL.

Immagina un DB che supporti le stacked query (non MySQL)....

e immagina di iniettare come user

'; DROP TABLE utenti;--

Questo è solo un esempio... drammatico.

Il fatto che MySQL non supporti le stacked query non è una scusante. I parametri che vanno a comporre la stringa SQL vanno sempre, sempre filtrati.

[LuckySevenRoX]

si ho capito.. in effetti il fatto di usare un database mysql non può essere una scusante per non aver adottato sistemi di sicurezza migliori.. grazie della risposta! ora mi è tutto più chiaro