защита от sql атак

[webmasterspb]

Добрый день, Уважаемые гуру и участники сообщества!!!

Как защитить сайт от sql иньекций.

[buslikdrev]

(int)$_GET['int'] и $this->db->escape($_GET['string'])

 

$this->db->query("SELECT * FROM " . DB_PREFIX . "my_table WHERE `id` = '" . (int)$_GET['int'] . "' AND `name` = '" . $this->db->escape($_GET['string']) . "'");

 

$_GET['int'] - лучше через обработчик OpenCart $this->request->get['int']

$_POST['int'] - лучше через обработчик OpenCart $this->request->post['int']

$_SERVER['int'] - лучше через обработчик OpenCart $this->request->server['int']

$_COOKIE['int'] - лучше через обработчик OpenCart $this->request->cookie['int']

$_FILES['int'] - лучше через обработчик OpenCart $this->request->files['int']

[webmasterspb]

2 минуты назад, buslikdrev сказал:

(int)$_GET['int'] и $this->db->escape($_GET['string'])

можно подробнее?

[Prooksius]

А куда уж подробнее))

Ну если нужна инфа, то почитайте про приведение типов и про функцию MySQL для экранирования спец символов.
По второй ссылке как раз рассказывается про защиту от инъекций через исп. этой функции.

Но что вам это даст, если вы не программист?
Нужно выяснять, какие модули у вас стоят и сделаны ли они согласно вот этих рекомендаций, что дали выше.
Если да - все ок, если нет - пишите авторам модулей, они должны исправить.

[Yoda]

2 часа назад, webmasterspb сказал:

Добрый день, Уважаемые гуру и участники сообщества!!!

Как защитить сайт от sql иньекций.

Все sql атаки имеют определенные сигнатуры.
Можно исключить попытки засадить вам в GET запрос всяческие штуки типа select(, cast( и так далее.
Но это полумера, так как есть еще и POST запросы, которые мы можем обработать только на уровне приложения.

И тут надо идти в request.php и добавлять правила фильтрации контекста запросов.

[MessorNetwork]

Вот плагин с WAF он фильтрует GET/POST/COOKIE

И блокирует различные атаки в том числе SQLinjection

https://www.opencart.com/index.php?route=marketplace/extension/info&extension_id=42800

Змінено 29 серпня 2022 користувачем MessorNetwork