Price.ro hacked | SQL Injection

[skreach]

Sunt Tocsixu de pe hackersblog.org , imi cer scuze ca a fost nevoie sa ... "imprumut" un user pentru a putea posta aici (nu stiu al cui e, nu imi pasa), dar administratorul seopedia a fost prea paranoic si nu a vrut sa imi faca un cont, cu motive gen:

Nu aprob hackareala si nici atacurile si injectiile doar de dragul meseriei.

ei se pricep.. niste script kidies care au gasit pe wiki sau alte siteuri ca daca pui intr-un input field: admin';-- restul comenzilor din sql sunt ignorate..
si sunt mult mai multe feuri de a te juca cu SQL-ul si inputurile neprotejate..
sql injection nu e hacking..
si functiile strip_tags si real_escape_string din php te pot salva de la multe situatii de astea penibile..

forapathy, e foarte usor sa arunci cu vorbe defaimatoare la adresa cuiva fara sa stii despre cine vorbesti asa-i?

Revenind la gafele tale gen daca pui intr-un input field: admin';-- restul comenzilor din sql sunt ignorate.. sau si functiile strip_tags si real_escape_string din php te pot salva... evidentiezi intr-un mod edificator faptul ca ai citit 1-2 pagini despre SQL/PHP ca apoi sa faci pe marele coder/security researcher.
Cu -- nu scapi de fiecare data de cealalta parte a query-ului sql cum nici mysql_real_escape_string sau magic_quotes nu te protejeaza intotdeauna de SQL Injection-uri. Cea mai buna varianta e sa faci filtrari si verificari proprii, in general sa te asiguri ca inputul nu are alta forma decat cea pe care o asteptai tu.