mysql_real_escape_string

[function]

Estimados,

He visto mucho por ahí que están utilizando mysql_real_escape_string() para porotegerse de posibles inyecciones, pero mi pregunta (por ignorancia) es: como funciona, que es lo que verdaderamente hace y como se deberia implementar

He visto esto y me sorporende el warning:
http://cl.php.net/manual/es/function...ape-string.php

en lugar encontré esto:
http://cl.php.net/manual/es/function...ape-string.php

pero sigo estando poco claro

Algun aporte para que muchos aprendamos?

Gracias

[function]

Encontré esto en el foro y esta bastante bueno y claro:
http://www.forosdelweb.com/f18/segur...string-771861/

Alguien colabora con algún otro aporte?

[masterpuppet]

Hay mucha info sobre esto, pero para mi el tema es porque seguir usando esas funciones?, hoy en día no veo razón para ello(a no ser que tengas la desgracia de seguir con php 4),
PDO existe no es un adorno .

[function]

Iniciado por masterpuppet

Hay mucha info sobre esto, pero para mi el tema es porque seguir usando esas funciones?, hoy en día no veo razón para ello(a no ser que tengas la desgracia de seguir con php 4),
PDO existe no es un adorno .

PDO?, excelente, que es?, donde puedo saber más de esto?

Agradezco tu post, seguro muchos también

[spider_boy]

Según el manual de PHP, esto es lo que hace :

Escapes special characters in the unescaped_string, taking into account the current character set of the connection so that it is safe to place it in a mysql_query(). If binary data is to be inserted, this function must be used.

mysql_real_escape_string() calls MySQL's library function mysql_real_escape_string, which prepends backslashes to the following characters: \x00, \n, \r, \, ', " and \x1a.

This function must always (with few exceptions) be used to make data safe before sending a query to MySQL.

\x00 = NULL ( me corrigen si me equivoco )
\x1a = SUB

Fuente : http://www.pcguide.com/res/tablesASCII-c.html

[bluesnt]

Buen día,

mysql_real_escape_string se utiliza para escapar como su mismo nombre lo indica, algunos caracteres que pueden ser peligrosos en la hora de inyectar datos en tus consultas sql mediante php.

[function]

Iniciado por spider_boy

Según el manual de PHP, esto es lo que hace :



\x00 = NULL ( me corrigen si me equivoco )
\x1a = SUB

Fuente : http://www.pcguide.com/res/tablesASCII-c.html

interesante, pero para mi nivel muy confuso e inentendible el de \x00 lo entiendo, pero Substitute, porque?, como demuestras que es un SUB?

[function]

Iniciado por bluesnt

Buen día,

mysql_real_escape_string se utiliza para escapar como su mismo nombre lo indica, algunos caracteres que pueden ser peligrosos en la hora de inyectar datos en tus consultas sql mediante php.

PERFECTO y Simple, muy amable y sencillo,

osea que anteponer mysql_real_escape_string() a la consulta le antepone un \ por ejemplo, asi el dato guardado x quedaria \x, es eso?

[bluesnt]

Buen día, ampliando mi respuesta...

mysql_real_escape_string se utiliza para escapar como su mismo nombre lo indica, algunos caracteres que pueden ser peligrosos en la hora de inyectar datos en tus consultas sql mediante php.


Un claro ejemplo de lo que se podría evitar es el siguiente:

En el script para ejecutar la consulta sql se pasan datos mediante la variable $_GET..

Código PHP:

mysql_query("UPDATE usuarios SET nombre = '$_GET[nombre]' WHERE id = $id");
 

En la inteligencia que cualquier persona puede cambiar la variable $_GET en la petición de la url. El resultado seria fatal si el usuario se da cuenta de la vulnerabilidad, algo como esto:

[URL="http://localhost/index.php?nombre=';DELETE FROM"]http://localhost/index.php?nombre=';DROP TABLE usuarios;SELECT * FROM usuarios[/URL]

El resultado seria que el usuario podría modificar a su gusto la consulta sql pudiendo borrar datos, o alterandolos.

La funcion mysql_real_escape_string escaparia la comilla simple de la variable GET, quedando la consulta así:

Código SQL:

UPDATE usuarios SET nombre = '\\';DROP TABLE usuarios;SELECT * FROM usuarios' WHERE id = $id
 

Mi recomendación adicional es validar los datos para que no afecte el funcionamiento de su sistema un dato incongruente a lo que debería estar plasmado.

Si no se usara el mysql_real_escape_string entonces la consulta quedaría así:

Código SQL:

UPDATE usuarios SET nombre = '';DROP TABLE usuarios;SELECT * FROM usuarios WHERE id = $id
 

[bluesnt]

Iniciado por function

PERFECTO y Simple, muy amable y sencillo,

osea que anteponer mysql_real_escape_string() a la consulta le antepone un \ por ejemplo, asi el dato guardado x quedaria \x, es eso?

En conclusión y una respuesta a lo que tu dices....

Lo unico que hace esta función es poner una barrita invertida (\) a los caracteres considerados peligrosos, como es la comilla simple ' la comilla doble " etc...


Espero te haya servido mi explicación...

Saludos

[function]

Iniciado por bluesnt

En conclusión y una respuesta a lo que tu dices....

Lo unico que hace esta función es poner una barrita invertida (\) a los caracteres considerados peligrosos, como es la comilla simple ' la comilla doble " etc...


Espero te haya servido mi explicación...

Saludos

MUCHO!! la verdad es que me ha servido mucho,

Gracias

[bluesnt]

Iniciado por function

MUCHO!! la verdad es que me ha servido mucho,

Gracias

Me alegro, soy nuevo en la comunidad, quiero aportar con mis conocimientos...

De una forma mas coloquial, lo que hace es lo mismo que cuando insertamos html en una variable con comillas dobles:

Código PHP:

$html = "<img src=\"img/logo.png\" alt=\"Logotipo\" />";
 

Las comillas dobles que se necesitan para encerrar a los atributos de una etiqueta se tienen que escapar para evitar errores de sintaxis

[function]

Iniciado por bluesnt

Me alegro, soy nuevo en la comunidad, quiero aportar con mis conocimientos...

De una forma mas coloquial, lo que hace es lo mismo que cuando insertamos html en una variable con comillas dobles:

Código PHP:

$html = "<img src=\"img/logo.png\" alt=\"Logotipo\" />";
 

Las comillas dobles que se necesitan para encerrar a los atributos de una etiqueta se tienen que escapar para evitar errores de sintaxis

Osea que esto quedaría asi:

Código PHP:

  $html = "<img src=mysql-real_escape_string("img/logo.png") alt=mysql-real_escape_string("Logotipo") />";  
   

?

[bluesnt]

No, creo que ya te he confundido, el mysql_real_escape_string en una consulta se usa así...

Código PHP:

$query = mysql_query("SELECT * FROM usuarios WHERE username = ".mysql_real_escape_string($_POST['username'])."");
 

Usarlo en el ejemplo que tu me has dado es imposible, mas bien, no es imposible, pero tienes que tener en cuenta que tiene que ser una variable insegura... a esto ya se le conoce como xss hasta cierto punto pero se usa otro tipo de métodos para evitarlo, la función mysql_real_escape_string fue hecha para escapar datos en las consultas sql, y solo para eso...

[masterpuppet]

function, te recomiendo que mires PDO y leas sobre Prepared Statments, como te decia sino utilizas php 4 no hay necesidad de usar las funciones mysql_*.

Salu2.

[bluesnt]

Iniciado por masterpuppet

function, te recomiendo que mires [URL="http://www.php.net/manual/es/book.pdo.php"]PDO[/URL] y leas sobre [URL="http://dev.mysql.com/tech-resources/articles/4.1/prepared-statements.html"]Prepared Statments[/URL], como te decia sino utilizas php 4 no hay necesidad de usar las funciones mysql_*.

Salu2.

PDO es una buena alternativa, pero hay que tener en cuenta que no todos los servidores compartidos cuentan con PDO, estaría recortando compatibilidad a su aplicación...

[masterpuppet]

Iniciado por bluesnt

PDO es una buena alternativa, pero hay que tener en cuenta que no todos los servidores compartidos cuentan con PDO, estaría recortando compatibilidad a su aplicación...

No comparto bluesnt, cualquier hosting barato de 10U$D tiene PDO activado y si estas desarrollando una aplicacion al dia de hoy, al hostearla vas a buscar como minimo apache 2+ y php 5.2.3+, que es lo que brinda la mayoria de los hosting compartidos.

[bluesnt]

Iniciado por masterpuppet

No comparto bluesnt, cualquier hosting barato de 10U$D tiene PDO activado y si estas desarrollando una aplicacion al dia de hoy, al hostearla vas a buscar como minimo apache 2+ y php 5.2.3+, que es lo que brinda la mayoria de los hosting compartidos.

Comparto tu idea hasta cierto punto, pero aun así, hay personas que aun utilizan php 4, de lo contrario algunos frameworks no seguirían dando soporte a php 4, un gran ejemplo es Codeigniter

[masterpuppet]

Si también te podría dar un ejemplo de lo contrario Zend(minimo php 5.2.3+), mantener aplicaciones antiguas vale, pero crear hoy aplicaciones utilizando esas funciones me parece una muy mala elección.

Salu2.