Foro de Posicionamiento y Buscadores

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Seguridad en acceso a base de datos:
He estado leyendo en tutoriales de php que a través de las base de datos te pueden hackear la web y uno de los códigos que recomiendan para evitarlo es este: mysql_real_escape_string
En la wikipedia ponen este ejemplo:
$query_result = mysql_query("SELECT * FROM usuarios WHERE nombre = \"" . mysql_real_escape_string($nombre_usuario) . "\"");

Yo lo estoy intentando adaptar a mi caso pero me da error. El problema es que desconozco programación php y a la mínima que cambio un signo sale el error. El siguiente cóidgo es el que yo tengo:

$busqueda=mysql_query("SELECT * FROM tabla WHERE codigo LIKE '%".$busca."%'" nombre (\'" . mysql_real_escape_string($usuario) . "\"")');

¿Donde puedo tener el error?
Cuando la wikipedia pone nombre_usuario, Por cual debo sustituirlo?
y cuando pone nombre, ¿por cual debo sustutuirlo?

Y otras medidas de seguridad que se os ocurra y sencillas de implementar

Gracias
_________________
coches de importacion
Hipoteca Multidivisa

ping · Publicado: Mar Ene 19, 2010 10:56 am **Asunto**:

No hace falta hacer la consulta tan complicada, prueba a filtar los parametros antes

$nombre_usuario = mysql_real_escape_string($nombre_usuario);

Saludos.
_________________
Chatear
Codigo

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Gracias Ping
Pero donde se pone ese código? y es tal cual lo pones?

Se pones antes del que tengo
$busqueda=mysql_query("SELECT * FROM tabla WHERE

es que en cuanto cambio algo me sale error
_________________
coches de importacion
Hipoteca Multidivisa

ping · Publicado: Mar Ene 19, 2010 2:23 pm **Asunto**:

Tienes lo siguiente:

$nombre_usuario = $_POST["nombre_usuario"];

El problema es que claro, esa variable puede contener caracteres especiales para el escapado de la consulta y ser atacado por sqlinjection.

Por lo tanto cada uno de los parametros que le pasas a la consulta es conveniente que le apliques esa función antes de usarla en la consulta.

$nombre_usuario = mysql_real_escape_string($nombre_usuario);

$query_result = mysql_query("SELECT * FROM usuarios WHERE nombre like '$nombre_usuario' ");

Saludos.
_________________
Chatear
Codigo

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Gracias de nuevo ping

Lo he puesto de la siguiente forma y funciona y no sale error, pero yo me pregunto, ¿estárá haciendo algún efecto? en mi código antes no tenía nada puesto sobre nombre_usuario:

$nombre_usuario = mysql_real_escape_string($nombre_usuario);
$busqueda=mysql_query("SELECT * FROM tablas WHERE calle LIKE '%".$busca."%'");

entonces ¿tendría que cambiar nombre_usuario por el usuario que yo tengo?
os e puede quedar así y surte su efecto?
¿tendría que poner otro mysql_real_escape_string para la pasword?
He intentado poner el código:
$nombre_usuario = mysql_real_escape_string($nombre_usuario); delante de los datos de conexión (localhost, usuario, password) y sale error.
Desde luego sin saber nada de php no es facil.
_________________
coches de importacion
Hipoteca Multidivisa

JustMe · Publicado: Mar Ene 19, 2010 4:02 pm **Asunto**:

El error más grave que estás cometiendo es usar y creer la M... publicada en la wikipedia. Un consejo para la vida, si quieres de verdad saber sobre algo, hazte un favor a ti y a la humanidad y no uses wikipedia.

A lo nuestro, mysql_real_escape_string siempre necesita una conexión ya abierta, el siguiente ejemplo tomado (Con adaptaciones) de la web de PHP, no de una güebopedia editada por pocholo.

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Del código que me pones para situar antes de la conexión:

<?php
#Entrecomilla la variable para hacerla segura
function quote_smart($value) {
if (get_magic_quotes_gpc()) {
$value = stripslashes($value); # Stripslashes si se necesita
}
if (!is_numeric($value)) {
$value = "'" . mysql_real_escape_string($value) . "'"; #Si no es un valor numérico, entrecomillarlo y hacerlo seguro
}
return $value;
}

¡TENGO QUE HACER ALGUN CAMBIO? o FUNCIONA TAL CUAL ESTA?
Cada vez que intengo adaptar algo que busco en los foros, error al tanto

Ahora estoy buscando la forma de que me de mensajes de error cuando la casilla de buscar este vacia o que no se ha encontrado ningun resultado y siempre el mismo problema, todos me dan error
_________________
coches de importacion
Hipoteca Multidivisa

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

El problema es que no tengo ni p. y menos de php para adaptar los códigos

Yo tengo el codigo asi
$busqueda=mysql_query("SELECT * FROM tablas WHERE calle LIKE '%".$busca."%'");

y el código que me citas es este:

"SELECT * FROM tabla WHERE codigo LIKE " . quote_smart( '%'. $nombre_usuario . '%' ) ;

¿tengo que dejar $nombre_usuario. tal cual? quitar lo que yo tengo busca?
añadir eso de quote_smart?

Comosabes,, en cuanto pones un punto o comilla de mas o de menos, error al canto
_________________
coches de importacion
Hipoteca Multidivisa

JustMe · Publicado: Mar Ene 19, 2010 10:19 pm **Asunto**:

¿Qué es "$busca"? Es una variable pero.... ¿De dónde lo has obtenido?

Supongamos que $busca lo has obtenido de una petición de un usuario, por ejemplo, en un formulario tienes un campo llamado x234jherw (he puesto ese nombre para que no confundir variables), así:

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Gracias de neuvo JustMe
Soy consciente de que debería leerme los tutoriales de php pero dada mi edad y tiempo que emplearia en enterarme posiblemente mi web ya habría sido atacada antes de yo aprender.

Cuando me pones function quote_smart($value)
¿Value se ueda tal cual o se sustituye por algo?

Efectivamente busca es el input <input name="busca"

y cualquier intento de adaptar códigos dando "palos de ciego" es tocar a la diosa fortuna.
_________________
coches de importacion
Hipoteca Multidivisa

JustMe · Publicado: Mie Ene 20, 2010 5:52 pm **Asunto**:

Es una función, por definición, una función recibe cero o más valores llamados parámetros o argumentos, hace algo con ellos y devuelve un valor, te acuerdas de f(x) y de aquella definición matemática:

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Gracias de nuevo pero el problema ya no es entender las variables es que cualquier código que intento incluir siempre salta error proque hay que saber de programación entero.
El buscador lo he descargado de este tutorial http://www.djcharlie.tk/ y este es el código
<title>%</title><form name="form1" method="post" action="buscador.php">

<p>Buscar por nombre </p>
<p>
<input name="busca" type="text" id="busca">

</p>
<label>
<input type="submit" name="Submit" value="buscar">
</label>
</form>
<?php
$busca="";
$busca=$_POST['busca'];
mysql_connect("localhost","root");
mysql_select_db("nobre de tu base de datos");//nombre de la base de datos
if($busca!=""){
$busqueda=mysql_query("SELECT * FROM tablaabuscar WHERE Nombre LIKE '%".$busca."%'");//cambiar tu la tabla de busqueda
while($f=mysql_fetch_array($busqueda)){
echo $f['Dni'].'  '.$f['Nombre'].'  '.$f['Direccion']."<br>";
}

}
?>

POr ejemplo si intento añadir lo que tu pusiste para que informe de los errores or die(mysql_error()); despéus de la conexión ya me da error.
la función quote_smart($value) si la he cargado y no da error pero cuando tengo que añadirla a la consulta o busqueda en mi caso me pones nombre_usuario y eso no se con que se sustituye y el lio de puntos y comas también produce errores si no se pone bien en su sitio.
Pero dejalo que esperare para verlo con alguién en vivo y endirecto

No se encuentran personas como tú con tanta paciencia.
_________________
coches de importacion
Hipoteca Multidivisa

JustMe · Publicado: Mie Ene 20, 2010 8:41 pm **Asunto**:

Intenta esto, copia y pega lo siguiente, guardalo como buscador.php, modifica donde sea necesario.....

hipotecamix · Lo mío es Gigablast Registrado: 17 Ene 2008 Mensajes: 92

Subo ese código cambiando los datos a mi tabla y sale este error

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'ODBC'@'localhost' (using password: NO)

Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: A link to the server could not be established in

Linea que dice da el fallo:
$value = mysql_real_escape_string($value); #Si no es un valor numérico, hacerlo seguro
_________________
coches de importacion
Hipoteca Multidivisa

JustMe · Publicado: Jue Ene 21, 2010 4:02 am **Asunto**:

Si, mea culpa, ¿recuerdas lo que te dije inicialmente de que debe existir una conexión previa a la base de datos?, pues, no lo tuve en cuenta, cambia a lo siguiente: