4

Estava usando preg_replace, para evitar injection SQL:

$senha = preg_replace('/[^[:alpha:]_]/', '',$_POST['senha']);

Ao comparar a $senha recebida por POST com a senha do banco (usando SHA1) , elas não são compatíveis.

Alguém me indica uma codificação melhor que evite realmente injection SQL?

5
  • 1
    pt.stackoverflow.com/questions/3864/…
    – gustavox
    Commented 16/12/2015 às 15:49
  • 3
    Não entendi como a regex resolveu o problema de sql injection, parece que ela criou outro.
    – rray
    Commented 16/12/2015 às 16:21
  • 1
    Usando PDO, ou mysqi_* basta criar um tipo de placeholder para injetar uma SQL válida, não vejo porque tratar o dado com preg_replace(). exemplo em PDO: insert into tabela (senha) values (:senha_string) e em mysqi: insert into tabela (senha) values(?). Commented 16/12/2015 às 19:01
  • @IvanFerrer já faço isso com mysqli
    – Bia
    Commented 16/12/2015 às 19:28
  • 1
    Mas vc concorda que é impossível fazer sql injection quando vc declara o campo $stmt->bindParam(':senha', $senha); a única coisa que vc vai fazer é validar o formato, mas nunca será injetado uma query que danifique seu sistema com isso. Commented 17/12/2015 às 11:12

3 Respostas 3

3

É óbvio que a pergunta já tem resposta, mas, para complementar o existente nos comentários, «Não use sha1 para criptografar senhas», simplesmente porque não te protege.

Para tratar de validações, recomendo usar as funções & constantes de validação nativas do PHP - Filtros PHP - ou ainda podes ler esta resposta para teres mais ou menos em mente como deves proceder com o resto.

Alguns exemplos de uso:

0
2

Não há necessidade em filtrar a string pois será convertida para um hash. O hash converterá tudo, inclusive caracteres de escape que permitiriam injeções sql ou quaisquer outros tipos de injeções.

Em suma, não se preocupe com filtros anti-injection para esse caso específico.

Veja um teste de exemplo para entender na prática:

$str = '\' delete from users; --\'';
echo sha1($str);

Para ser mais claro, preocupe-se mais com a validação do parâmetro recebido:

$senha = null;
if (isset($_POST['senha']))
    $senha = trim($_POST['senha']);

if (!empty($senha))
    $senha = sha1(trim($_POST['senha']));
else
    echo 'senha não pode ser vazia'; exit;
0
2

Uma forma de fazer filtro de sha1 seria assim:

function isSHA1($sha1) {
    return (bool) preg_match('/^[0-9a-f]{40}$/i', $sha1);
}

Se estiver usando o PDO por exemplo, você pode fazer assim:

$dbh = new PDO("mysql:host=localhost;dbname=seubanco", $user, $pass);  

try {

      if (!isset($_POST['usuario'])) {
          throw new PDOException('Informe o nome de usuário!');
      }
      if (!isset($_POST['senha'])) {
          throw new PDOException('Informe a senha!');
      }

      if (!isUser($_POST['usuario'])) {
          //aqui você cria um método para tratar o usuário
          throw new PDOException('Informa um usuário válido!');
      }

      if (!isSHA1($_POST['senha'])) {
          throw new PDOException('A senha informada é inválida!');
      }

       $stmt = $dbh->prepare("
                            INSERT INTO usuarios (usuario, senha)
                            VALUES (:user,:pass)
                           "); 

       $usuario = $_POST['usuario'];
       $senha = $_POST['senha'];

       $stmt->bindParam(':user', $usuario);
       $stmt->bindParam(':pass', $senha);
       $stmt->execute();

} catch(PDOException $e) {
    echo $e->getMessage();
}

Porém não tem necessidade de validar sha1 para um caso desse, pois o usuário irá digitar uma senha normal, e depois ela será convertida para sha1:

$dbh = new PDO("mysql:host=localhost;dbname=seubanco", $user, $pass);  

try {

      if (!isset($_POST['usuario'])) {
          throw new PDOException('Informe o nome de usuário!');
      }
      if (!isset($_POST['senha'])) {
          throw new PDOException('Informe a senha!');
      }

      if (!isUser($_POST['usuario'])) {
          //aqui você cria um método para tratar o usuário
          throw new PDOException('Informa um usuário válido!');
      }

       $stmt = $dbh->prepare("
                            INSERT INTO usuarios (usuario, senha)
                            VALUES (:user,:pass)
                           "); 

       $usuario = $_POST['usuario'];
      //convertendo a senha para sha1
       $senha = sha1($_POST['senha']);

       $stmt->bindParam(':user', $usuario);
       $stmt->bindParam(':pass', $senha);
       $stmt->execute();

} catch(PDOException $e) {
    echo $e->getMessage();
}

OBS: Não recomendo uso de hash com sha1() e nem md5(), embora eles sejam seguros, contanto que você inclua um token junto à senha, ambos possuem falha de colisão: Nesta pergunta, fala mais sobre o assunto

Uma boa alternativa para senha é o uso do password_rash.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .