5

Como posso prevenir SQL injection vindo de um input via POST utilizando PHP + SQLServer. (Utizando Microsoft SQL Server => mmsql)

Estou fazendo a abstração de dados de um BD que roda MYSQLI e neste caso é feita desta maneira.

$Email= mysqli_real_escape_string($conexao, $_POST['Email']);
$Senha= mysqli_real_escape_string($conexao, $_POST['Senha']); 
 
8
  • O PDO é uma alternativa. Qual driver está usando?
    – rray
    Commented 15/01/2016 às 19:52
  • A aplicação utiliza mssql JDBC no SQL
    – denis
    Commented 15/01/2016 às 19:55
  • mssql a antiga? sobre o pdo => pt.stackoverflow.com/a/68238/91
    – rray
    Commented 15/01/2016 às 19:56
  • ODBC ou JDBC? tem coisa estranha aí.
    – rray
    Commented 15/01/2016 às 19:58
  • 1
    A extensão mssql foi removida do php7 e desde a 5.3 para windows ela não é inlcuida é altamente recomendado não utilizar ela.
    – rray
    Commented 18/01/2016 às 22:06

1 Resposta 1

2

Existe dois drivers para fazer conexão com o SQL Server o PDO e o SQLSRV, Tem várias questões sobre o PDO especificas para o SQL Server, desde a a instação e configuração, criação da conexão e os demais aspectos da biblioteca.

Criação da conexão:

$servidor = 'ip ou servidor\instancia';
$db = 'test';
$usuario = 'user';
$senha = 'pass';        

$conexao = sqlsrv_connect($servidor, array('Database' => $db, 'UID' => $usuario, 'PWD' => $senha));

Escapar caracteres não previne nem resolve o problema de sql injections como mostra essa resposta, a melhor forma de atacar esse problema é filtrar as entradas do usuário adequadamente e utilizar prepared statements.

Para DML(insert, update ou delete) faça esse código, isto é apenas um exemplo por favor não armazena senhas em formato de texto puro no banco.

$sql = "INSERT INTO usuarios(email, nome, senha) VALUES(?,?,?)";

$email = "doge@wow.com";
$nome = "Doge";
$senha = "wowsuchsecret";

$stmt = sqlsrv_prepare( $conexao, $sql, array($email, $nome, $senha));
if( !$stmt ) {
    die( print_r(sqlsrv_errors());
}

Para selects:

$sql = "SELECT * FROM usuarios";
$stmt = sqlsrv_query($conexao, $sql);
if( $stmt === false) {
    die(print_r(sqlsrv_errors()));
}

while( $row = sqlsrv_fetch_array( $stmt, SQLSRV_FETCH_ASSOC) ) {
      echo $row['nome']." - ".$row['email']."<br />";
}
1
  • Infelizmente isso não funciona pra mim pois me conecto remotamente via mssql_connect
    – denis
    Commented 18/01/2016 às 15:24

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .