extraña respuesta de mysql al realizar una consulta desde un form

[darkmasterr]

explico mi problema, tengo un formulario el cual me pide un nick , la pagina que procesa el nick manda ese nick para realizar una consulta a una db mysql , este procesamiento es poco cuidadoso lo que lo hace vulnerable a sql injection ahora para probar esto estoy intentandolo practicamente, la consulta de la pagina es similar a esta:

Código PHP:

  $username = $_POST['username']; 
        $string_sql="SELECT `users`.`username`, `users`.`password`, `users`.`userlevel`,  
        FROM users 
        WHERE (`users`.`username` ='$username')";  
   

ahora lo que yo hago es escribir la siguiente cadena en $_POST['username'];

nombre_usuario'); DELETE FROM users;-- '

por lo que me queda la consulta:

SELECT `users`.`username`, `users`.`password`, `users`.`userlevel`,
FROM users
WHERE (`users`.`username` ='nombre_usuario'); DELETE FROM users;-- '')

lo que hace que me elimine nombre_usuario,

ahora, ejectuo esta consulta en phpmyadmin y funciona perfectamente, ahora lo hago por el script php y el mysql me tira un error de sintaxis , imprimo mediante el script php la variable $sql y esta perfecta, no se porque me tira el error el mysql mediante el php y por el phpmyadmin no,

alguna ayuda?

[TolaWare]

¿Cual es el error que te devuelve MySQL?

[lado2mx]

Intenta solo hacer dos consultas separadas

Código PHP:

  
$seleccion_1="SELECT users.username, users.password, users.userlevel FROM users WHERE (users.username='".$username."')"; 
$seleccionando_1=mysql_query($seleccion_1);
echo mysql_error();
$fila_seleccion=mysql_fetch_array($seleccionando_1);
$eliminar_2="DELETE FROM users";
$eliminando=mysql_query($eliminar_2);
echo mysql_error();  
   

Revisa bien tu script que tiende a ser peligroso

[darkmasterr]

jeje el script no es mio, por eso solo necesito hacer la consulta de una sola vez

TolaWare: el error de mysql es el siguiente:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '; DELETE FROM users;-- '')' at line 3


gracias de todas maneras.

[lado2mx]

Usa lo que te puse y se soluciona