[PHP & MySQL] Sql Injection

[Sbarboff2005]

Come posso evitare che mi accada questo nel guestbook.

eventualmente se volete vedere di cosa si tratta andate qui

Codice:

$currentDate = date("d.m.Y - H:i:s");
$ip = $_SERVER['REMOTE_ADDR'];

if (isset($_POST['Submit']) && $_GET['action'] = "insert") {
mysql_select_db($database_name, $conn) or die (mysql_error());
$query = "INSERT INTO tb_guesbook (gb_callsign, gb_name, gb_linkName, gb_linkUrl, gb_dateTime, gb_object, gb_text, gb_email, gb_ip) VALUES (
                                                                                                '".$_POST['callsign']."',
                                                                                                '".$_POST['name']."',
                                                                                                '".$_POST['linkname']."',
                                                                                                '".$_POST['linkurl']."',
                                                                                                '".$_POST['dateTime']."',
                                                                                                '".$_POST['object']."',
                                                                                                '".$_POST['text']."',
                                                                                                '".$_POST['email']."',
                                                                                                '".$_POST['ip']."'
                                                                                                )";
mysql_query($query) or die (mysql_error());
$msg = "Messaggio inserito con successo!
Message insert successfully!";
}
                                                                                                

?> 

[StefanoV]

metti add_slashes alla query.....

cmq riguarda il form di login...anke lui è vulnerabile all'SQL Injection!

[andbin]

Originariamente inviato da Sbarboff2005
Come posso evitare che mi accada questo nel guestbook.

....... '" . mysql_real_escape_string ($_POST['callsign'], $conn) . "', .......

[Sbarboff2005]

k grazie dei consigli domani provo a rimediare al mio misero script guestbook!!!

[Sbarboff2005]

Ecco ho provato a fare cosi e funziona

<?php 
$currentDate = date("d.m.Y - H:i:s");
$ip = $_SERVER['REMOTE_ADDR'];

if (isset($_POST['Submit']) && $_GET['action'] = "insert") {
mysql_select_db($database_name, $conn) or die (mysql_error());
$query = "INSERT INTO tb_guesbook (gb_callsign, gb_name, gb_linkName, gb_linkUrl, gb_dateTime, gb_object, gb_text, gb_email, gb_ip) VALUES (
                                                                                '".mysql_real_escape_string ($_POST['callsign'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['name'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['linkname'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['linkurl'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['dateTime'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['object'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['text'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['email'],$conn)."',
                                                                                '".mysql_real_escape_string ($_POST['ip'],$conn)."'
                                                                                                )";
mysql_query($query) or die (mysql_error());
$msg = "Messaggio inserito con successo!
Message insert successfully!";
}
                                                                                                

?>

Pero quel malefico di un utente riesce ancora mettere messaggi alla cazzo ;
Altri consigli per evitare il tutto??

Date un'occhiata qui