Sobre SQL Injection
As defesas preliminares:
- Opção # 1: Use de Prepared Statements (consultas parametrizadas)
O uso de Prepared Statements com (consultas parametrizadas) de ligação variáveis é como todos os desenvolvedores deveriam ser ensinados a escrever consultas ao banco de dados. Elas são simples de escrever, e mais fáceis de entender do que as consultas dinâmicas. Consultas parametrizadas forçam o desenvolvedor a definir primeiro todo o código SQL, e então passar em cada parâmetro para a consulta mais tarde. Este estilo de codificação permite que o banco de dados possa distinguir o código e os dados, independentemente do que a entrada do usuário é fornece.
Prepared Statements garantem que um atacante não é capaz de mudar a intenção de uma consulta, mesmo se os comandos SQL são inseridos por um invasor. No exemplo , se um invasor tenta entrar no userID de tom "ou" 1, a consulta parametrizada 1 '=' não seria vulnerável e, ao invés, procurar um nome de usuário que literalmente acompanhado todo o tom string 'ou' 1 '=' 1.
Recomendações especificas de cada linguagem:
- Java EE – use PreparedStatement() with bind variables
- .NET – use parameterized queries like SqlCommand() or OleDbCommand() with bind variables
- PHP – use PDO with strongly typed parameterized queries
(using bindParam())
- Hibernate - use createQuery() with bind variables
(called named parameters in Hibernate) SQLite - use sqlite3_prepare()
to create a statement object
Existem outras formas/complementações para prevenir SQL Injection, Prepared Statements é uma das principais.
Vi que tem interesse em saber sobre outras vulnerabilidades, inclusive existe outras variantes de ataque SQL como blind sql injection.
Não sei se você sabe, mas existe uma organização da comunidade que tem o foco na segurança, principalmente na web e eles fazem um top 10 das principais vulnerabilidades web, fora que tem diversos outros conteudos relacionados a segurança, ate mesmo voltado para PHP.
Complementando: Alem disso, valide as entradas e saídas de sua aplicação, deixando a utilização de caracteres necessários.
OWASP
TOP 10 - 2013
SQL Injection
Reforço a você conhecer esse site, principalmente para aprender sobre as outras formas de prevenir uma ataque SQL, conteúdo foi tirado de la.
strip_tags, addslashes e htmlspecialchars
consigo resolver este problema. É fato, ou não, qual a melhor maneira de evitar XSS com php? outra dúvida é, quais váriaveis globais devo utilizar para evitar isso: ex: GET, POST, SESSION, COOKIE, SERVER ... pois pelo que li e pelo sei, o user agent ($_SERVER), eu posso modificar essa header fácilmente, e geralmente envio ela diretamente para o banco de dados... é possível modificar a variavel global do IP também?