$degisken = addslashes(strip_tags($_GET["degisken "]));
bu yeterli olur mu? yoksa sizin kullandığınız daha sağlam bir yöntem var mı?
Bir de deface olayını nasıl engelleyebilirim? server'a nasıl giriyor olabilirler?
ftp programı kullanıyorsan bir kontrol etmende fayda var. index'i değiştiriyorlarsa ftp trojani yemiş olabilirsin.
mysql e veri eklerken nasıl bir fonksiyon kullanıyorsun ?
"select * from blabla where = $degisken " tarzı birşey yaparsan sql injection yersin
bunun yerine prepared statement kullanmanı tavsiye ederim.
@rodrane; evet söylediğin şekilde kullanıyorum, bu sıkıntılı mı? çok yaygın bir kullanım oysa?
bu yöntemi bir örnekle açıklayabilir misin? ilk kez duydum açıkçası.
Bu konuyla ilgili şöyle bir kod buldum;
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// insert one row
$name = 'one';
$value = 1;
$stmt->execute();
bu koda şu sql kodunu entegre edebilir misiniz, örnek olması bakımından:
$ekle = mysql_query("INSERT INTO hsiteleri(hsitesi_baslik, hsitesi_url, hsitesi_onay) VALUES('$hsitesi_baslik', '$hsitesi_url', '$hsitesi_onay')");
$stmt = $dbh->prepare("INSERT INTO hsiteleri(hsitesi_baslik, hsitesi_url , hsitesi_onay) VALUES (:hsitesi_baslik, :hsitesi_url ,hsitesi_onay :)");
$stmt->bindParam(':hsitesi_baslik', $hsitesi_baslik);
$stmt->bindParam(':hsitesi_url ', $hsitesi_url );
$stmt->bindParam(':hsitesi_onay ', $hsitesi_onay );
bu arada bir sitem yine hacklenmiş. kodlar arasında şöyle bir şey gördüm "Web Shell by xxxx" web shell ile nasıl hackleme yapılır? sql injection ile bir alakası var mı bu yöntemin?
@rodrane;
Bu yöntemi SELECT, DELETE, UPDATE vs. şeysinde de kullanabiliyor muyuz? yoksa sadece INSERT için mi?
Mümkünse onlar için de birer örnek verebilir misin. Çok çok makbule geçiyor, öyle böyle değil.
hepsinde kullanabiliyorsun tabiki.
web shell'in
sql injection ile de alakası de olabilir , linux sunucularda yanlış yetkilendirme sonucu (chmod) ile de alakalı olabilir. bir sürü sebepten olabilir.
bir güvenlik danışmanına belli bir ücret ödeyip sistemini kontrol ettirmen en mantklısı gibi duruyor.
ya da tecrübesiz bir hacker ile karşı karşıyaysan sunucuna erişim sağlayan ip kayıtlarını kendin ya da hosting firmana inceletip tanımadığın ipleri savcılığa da verebilirsin. ama bu sadece seni o saldırgandan korur.
ben gene de güvenlik hizmeti almanı tavsiye ederim.
ayrıca acunetix web vulnerability diye bir yazılım var bununla sitendeki açıkları da inceleyebilirsin.