5

Estou aprendendo php e gostaria de tirar uma duvida se meu código está vulnerável a sql injection.

No caso estou montando um formulário

<form method="POST" action="classes/cliente.class.php" enctype="multipart/form-data">
<input class="input" type="text" name="razaosocial" placeholder="Razão Social" onkeyup="maiuscula(this)">
<button class="button is-primary" type="submit" value="Cadastrar" name="novoCliente">CADASTRAR</button>

ai no outro arquivo estou pegando da seguinte maneira

   if (array_key_exists("novoCliente", $_POST)){ 
$razaosocial       = $_POST["razaosocial"];
$sql = mysqli_query($conexao, "INSERT INTO cliente VALUES ('', '".$razaosocial."') ");
            if ($sql){
                echo "<script language='javascript' type='text/javascript'>window.location.href='../consultaCliente.php'</script>";
                }
                else{
                echo "<script language='javascript' type='text/javascript'>alert('Erro no cadastro!');window.location.href='../cadastroCliente.php'</script>";
                }
else
echo"<script language='javascript' type='text/javascript'>window.location.href='../cadastroUsuario.php'</script>";  

Isso é certo? Está vulnerável?

1
  • Fique de olho sempre ao lidar com entrada do usuário. Entradas de usuário são perigosas, pois são vetores de ataque. SQL é uma linguagem poderosa (afinal ela controla seu banco de dados) e você enfiou entrada de usuário no meio dela sem "higienizar", está dando bastante poder para o usuário, que pode ser um invasor. A regra de ouro é: "higienize toda a entrada de usuário" (sanitize all user input).
    – rodorgas
    Commented 24/04/2019 às 3:38

1 Resposta 1

3

Sim, é vulnerável. Você pode perceber isso através dessas duas linhas:

$razaosocial = $_POST["razaosocial"];
$sql = mysqli_query($conexao, "INSERT INTO cliente VALUES ('', '".$razaosocial."') ");

Imagine se a pessoa enviar como parâmetro razaosocial o valor Luiz. O comando SQL seria:

INSERT INTO clientes VALUES ('', 'Luiz')

Certo? Agora imagine se a pessoa colocasse como valor o seguinte:

Luiz'); DROP TABLE clientes; -- 

A query completa ficaria:

INSERT INTO clientes VALUES ('', 'Luiz'); DROP TABLE clientes; -- ')

E isso é só um dos exemplos.


Para prevenir isso, o mais ideal é que você prepared statements.

Existem diversas formas de se preparar um statement. Você pode usar o próprio mysqli (através do prepare) ou usar outras bibliotecas, como o PDO.

5
  • Por que a forma mais fácil é usar PDO, se ele já usa mysqli?
    – bfavaretto
    Commented 21/04/2019 às 13:11
  • Na minha opinião a forma de se preparar no PDO é mais simples do que no MySQLi. Preferência pessoal. De todo modo, editei a resposta para dizer que também é possível ser feito no MySQLi. Commented 21/04/2019 às 13:17
  • Acho que o próprio PHP recomenta o PDO. Pois tudo que é digitado no campo vira texto comum e não faz parte do código. Commented 21/04/2019 às 17:30
  • pesquisando aqui cheguei nisso... agora desta forma é seguro? if (array_key_exists("cadastro", $_POST)){ $stmt = $mysqli->prepare("INSERT INTO teste (nome) VALUES (?)"); $stmt->bind_param("s", $_POST['nome']); $stmt->execute(); //fetching result would go here, but will be covered later $stmt->close(); } else echo "ERRO"; Commented 21/04/2019 às 17:44
  • tambem podes usar o addslashes na variável que queres enviar Commented 22/04/2019 às 9:45

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .