помогите с php — ANTICHAT Forum

помогите с php

30.05.2006, 11:55

temon

Участник форума

Регистрация: 06.02.2005

Сообщений: 130

Провел на форуме:
172723

Репутация: 5

помогите с php

Ребята.
Подскажите пожалуйста.
Вот в файле есть дыра, если в stat.php?=-1 то
mysql_fetch_row():. Короче можно sql инжекцию потом сделать.
чТО НУжно добавить в файл stat.php, чтобы при ошибочном запросе к sql выходило сообщения что нет такой статьи.
Заранее спаисбо.

30.05.2006, 12:07

ferryman

Познающий

Регистрация: 13.02.2006

Сообщений: 88

Провел на форуме:
304371

Репутация: 16

if (!mysql_num_rows($result)){
print 'Not found';
}else{
print 'OK';
}

30.05.2006, 20:47

temon

Участник форума

Регистрация: 06.02.2005

Сообщений: 130

Провел на форуме:
172723

Репутация: 5

большое спасибо.
проверю, если работает то огромное спасибо.

30.05.2006, 21:54

temon

Участник форума

Регистрация: 06.02.2005

Сообщений: 130

Провел на форуме:
172723

Репутация: 5

не катит совсем.
выходит сообщение нот фаунд и все равно
Warning: mysql_fetch_row(): supplied argument is not a valid MySQL result resource in /xxxxx/mainfile.php on line 526
Может сорс всего файла стат написать. чтобы понятнее было.

31.05.2006, 03:56

Boxa

Новичок

Регистрация: 06.05.2006

Сообщений: 9

Провел на форуме:
10349

Репутация: -3

у тебя mysql_query запрос ошибочный. mysql_error()ом проверь

31.05.2006, 06:44

temon

Участник форума

Регистрация: 06.02.2005

Сообщений: 130

Провел на форуме:
172723

Репутация: 5

я в php не гуру.
каким образом проверить?

31.05.2006, 08:40

Trinux

Познавший АНТИЧАТ

Регистрация: 26.11.2004

Сообщений: 1,149

Провел на форуме:
941818

Репутация: 569

после mysql_query(); ставишь echo mysql_error(); или mysql_query() or die(mysql_error());

31.05.2006, 12:06

~~ZaCo~~

Banned

Регистрация: 20.06.2005

Сообщений: 880

Провел на форуме:
4610226

Репутация: 1332

так тут человеку защититься нужно как я понял. если только с '-' прокатывает то это не дыра. лучше сделай сразу $id=intval($id>=0?$id:0);

31.05.2006, 14:04

Trinux

Познавший АНТИЧАТ

Регистрация: 26.11.2004

Сообщений: 1,149

Провел на форуме:
941818

Репутация: 569

вообще если нужно обезопаситься, то достаточно

PHP код:


		
			
$query=mysql_query("SELECT 1 FROM table WHERE id='".addslashes($id)."' LIMIT 1");

if(mysql_num_rows($query)){

...

Последний раз редактировалось Trinux; 31.05.2006 в 16:36..

#10

31.05.2006, 14:18

~~ZaCo~~

Banned

Регистрация: 20.06.2005

Сообщений: 880

Провел на форуме:
4610226

Репутация: 1332

только он число передает