Fallo de seguridad

mysterio069 · #1 (**permalink**) 12/01/2011, 13:51

Hola foreros!

Veran, he construido una web en mi servidor local, para evitar las inyecciones sql use mysql_real_scape_string (creo que es asi como se escribe) con las variables que despues pondria en la sentencia sql.

Intente hacer un ataque a mi servidor con SQLI Helper (ya que no entiendo mucho de inyeccion) y no consegui sacar la base de datos.

El problema es que he subido la web al hosting que tiene contratado la empresa para la que construi la web y aora si que se le pueden hacer ataques por inyeccion con el mismo programa y sacar toda la base de datos.

¿es posible que el hosting no tenga instalada la funcion mysql_real_scape_string??
¿que podria estar fallando?
¿me recomiendan otra funcion?

Los usuarios los encripte con md5 por lo que las claves no pueden saberlas.

Gracias por vuestro tiempo!!

Triby · #2 (**permalink**) 12/01/2011, 16:01

Sin ver tu codigo es dificil saber si se trata de un error de programacion, pero, si tienes:

$cadena_segura = mysql_real_escape_string($cadena_no_segura);

Suponiento que en el servidor no exista la funcion, entonces el script no se ejecutaria. Lo mejor es que pongas un ejemplo de como armas tus consultas y ahi es donde podriamos ver si estas fallando con algo.

mysterio069 · #3 (**permalink**) 12/01/2011, 16:19

gracias por responder!

te pongo un ejemplo de una consulta de este tipo

$sql="SELECT * FROM noticias WHERE id=".mysql_real_escape_string($_GET['noticia']);

Triby · #4 (**permalink**) 12/01/2011, 16:53

Pues si todos tus campos los pasas por mysql_real_escape_string() no veo como puede haber inyeccion, algo debes tener por ahi que quedo sin esa proteccion.

Muestra aqui todo el script que es sujeto de ataque al subirlo al servidor y ya veremos donde esta el fallo.

mysterio069 · #5 (**permalink**) 13/01/2011, 04:26

Hola de nuevo!

te comento, ahora mismo no tengo el codigo, cuando llegue a casa lo posteo, lo que se me olvido comentar es que la antigua web aun esta en el servidor y yo podia hacer inyeccion a la antigua web antes de subir la mia.

De forma que la web estaria asi:

www.laweb.es
www.laweb.es/nueva/

es posible que si la web antigua tiene un problema de seguridad de este tipo afecte a la nueva y se vean las dos bases de datos?