28.01.2011, 08:39
|
|
Постоянный
Регистрация: 14.05.2006
Сообщений: 334
С нами:
10522103
Репутация:
272
|
|
Сообщение от Seravin
ну я например делаю так
Код:
"SELECT * FROM table WHERE id = '".mysql_real_escape_string($_GET['id'])."' and name = '".mysql_real_escape_string($_GET['name'])."'";
id число
name строка а кто-то делает так:
PHP код:
[COLOR="#000000"][COLOR="#0000BB"][/COLOR][COLOR="#DD0000"]"select * from table where id="[/COLOR][COLOR="#007700"].[/COLOR][COLOR="#0000BB"]mysql_escape_string[/COLOR][COLOR="#007700"]([/COLOR][COLOR="#0000BB"]$_GET[/COLOR][COLOR="#007700"][[/COLOR][COLOR="#DD0000"]'id'[/COLOR][COLOR="#007700"]]);
[/COLOR][/COLOR]
qaz
походу БД должна быть в любой кодировке, совместимой с asci, а на сайте использоваться одна из перечисленных в статье.
Если я правильно все это понимаю, то в таком несоответствии возможна инъекция...
|
|
|