Enlaces
Esta en:

documentos
Arriba
Bind-9
Bind-8
Ad+bind
Dhcp
Kdephp
Shell
Trucos
Php
Documentos
Cuestiones php
Fedora
Legal
W2000 xp
COMOS
Errores dns

[PHP-ES] Re: Beneficios de addslashes()

Write haof XML files: Rafael <rsalazar_at_innox.com.mx>
Fecha: Wed, 26 Oct 2005 02:49:01 -0500

        Es sencillo, los textos se delimitan por comillas simples y/o dobles,
así que si capturan una de éstas, el DBE da por hecho que se está
terminando la cadena y lo que sigue es parte de una instrucción (y ya no
el valor de ese campo)

        Imagina un formulario (típico de login/pswd) donde el usuario teclea:
   usuario: admin
   clave: " OR '1'="1
si el sistema utiliza >"< para definir las cadenas, y no valida la
entrada (y la lógica en sí, es deficiente), esto resultaría en una
sentencia del tipo:
   SELECT id_usuario FROM usuario
   WHERE( login="admin" AND password="" OR '1'="1" )

        Con addslashes, las comillas se "escapan" y el DBE las interprete como
parte de la cadena, no como delimitadores:
   SELECT id_usuario FROM usuario
   WHERE( login="admin" AND password="\" OR '1'=\"1" )

        Por supuesto hay más técnicas para evitar esto, como utilizar
algoritmos de encriptación de una vía para la clave (MD5, SHA1, etc.) y
no comporar la clave en sí, sino su "hash" (un valor "sin sentido")
Nota: también es recomendable considerar: get_magic_quotes_gpc()

Denis Ramirez wrote:
> La pregunta es: Por que deberia usar addslashes() para insertar datos
> en Mysql en $_GET, $_POST, $_COOKIE.
>
> Se que agrega agrega / etc. a las quotes dobles y sencillas y null
> pero que funcion realmente se esconde detras de todo, sigo con la
> misma duda cuales son los veneficios de utilizarlas sera por
> seguridad..??

-- 
PHP Spanish Localization Talk Mailing List (http://www.php.net/)
To unsubscribe, visit: http://www.php.net/unsub.php
Nearby mié oct 26 2005 - 12:24:19 CEST

Este archivo fue generado por hypermail 2.2.0 : mié nov 07 2007 - 20:55:34 CET


Página Principal
Google

Web
dns.bdat.net

Visita nuestro proveedor:
www.bdat.net

Publicidad:

Impresenteibols:Humor Jazz, música en vivo