LikeForYou
- 26 Eyl 2017
- 728 Mesaj
POST ve GET methodlarıyla veri çekerken nasıl çekiyorsunuz ?
Örneğin:Â
index.html
goform.php (GÜVENSİZ OLAN)
Örneğin yukarıyada writeden alınan veriyi name parametreyine atadım.
İşte bütün problem burada kod çalışır mı ? ÇALIŞIR. Fakat hiç güvenilir değildir.
Bu Gibi sorgular MySQL Veri tabanında hatalara yol açar ya da bir hacker login formundan veri tabanına sızar.
Çünki '," gibi karakterler filitreye alınmadığında sql injection dediğimiz açık meydana geliyor.
goform.php (GÜVENLİ OLAN)
Yukarıda gördüğünüz sorguda ise gelen veriyi filitreledim. nasıl mı ?
write kutusundan gelen '," gelen karakterler Mysql_real_escape_String() fonksyonundan ve htmlspecialchars() fonksyonundan geçiyor. direk veri tabanına yazılmıyor. Bu da sitemizi biraz daha güvenilir kılıyor. Tabi ki yeterli değilidi! Daha güvenilir php fonksyonlarını bir arada kullanabilmeniz mümkün. Google size yardımcı olacaktır..
Örneğin:Â
index.html
Kod:
<form action="goform.php" method="POST">
Name:<input type="text" name="write">
<input type="submit" value="Gönder">
</form>goform.php (GÜVENSİZ OLAN)
Kod:
<?php
$name = $_POST['write'];
echo $name;
?>Örneğin yukarıyada writeden alınan veriyi name parametreyine atadım.
İşte bütün problem burada kod çalışır mı ? ÇALIŞIR. Fakat hiç güvenilir değildir.
Bu Gibi sorgular MySQL Veri tabanında hatalara yol açar ya da bir hacker login formundan veri tabanına sızar.
Çünki '," gibi karakterler filitreye alınmadığında sql injection dediğimiz açık meydana geliyor.
goform.php (GÜVENLİ OLAN)
Kod:
<?php
$name = Mysql_real_escape_string(htmlspecialchars($_POST['write']));
echo $name;
?>Yukarıda gördüğünüz sorguda ise gelen veriyi filitreledim. nasıl mı ?
write kutusundan gelen '," gelen karakterler Mysql_real_escape_String() fonksyonundan ve htmlspecialchars() fonksyonundan geçiyor. direk veri tabanına yazılmıyor. Bu da sitemizi biraz daha güvenilir kılıyor. Tabi ki yeterli değilidi! Daha güvenilir php fonksyonlarını bir arada kullanabilmeniz mümkün. Google size yardımcı olacaktır..
