Не самый лучший выбор, особенно если фильтруемое значение потом размещается где-нибудь в виде ссылки, например на форуме vbulletin

самого htmlspecialchar достаточно??

Пытаюсь делать SQL-инъекцию на одном ресурсе, при подстановке кавычки ко всем параметрам, которые проверил выводятся ворнинги такого плана:

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in ...

Можно ли что-то сделать с этими параметрами?

fng:

может и можно, а может и нельзя - ссылку в студию, попробуй перечитай свой вопрос и осознай, что разговариваешь с Землянами, а не с гуманоидными существами из галактики бетта, которые в совершенстве познали телепатию

2Pashkela, могут конечно быть дефекты, но все зависит от того что и где ты фильтруешь.

P.S.: к стати, замечал на какой то из версий воблы используеться эта ф-я в ббкодах, действительно были дефекты. Но данная функция далеко не единственный способ защиты

Обсуждалось уже, htmlspecialchars() тоже обходиться.

как? О_о

show must go on

Как ты пытаешься провести инъект, если ты даже не знаешь что он тебе отвечает?

order by 10000 --
order by 1 --
order by 4 --

union select 1,2,3,4 --

выводит 2,4 например

union select 1,concat_ws(0x3a,version(),user()),3,4 --