double quotes injection sql

double quotes injection sql - SQL/NoSQL - Programmation

Marsh Posté le 29-05-2008 à 16:06:36    

Bonjour  
 
un petit probleme j ai un simple formulair php/html
 
un input text avec une methode POST
recup des données dans une variable puis insertion dans la base de donnée
si je tape du text comme cela :
 
truc machin "bleu" il est cool
 
dans la base de donnée je retrouve seulement truc machin \
 
la fonction qui ajoute les \ est sur on et je ne peut pas l enlever ..
j ai testé addslaches stripslaches mysql_real_escape_string htmlentitie ou htmlspecialchars et dans tous les cas le text est supprimé  
 
comment je recup le text entre les " ?  
 
merci d'avance je crack snif .


---------------
Ritouné mwen lé ritounin
Reply

Marsh Posté le 29-05-2008 à 16:06:36   

Reply

Marsh Posté le 29-05-2008 à 16:21:55    

tu peux nous montrer comment tu utilise stripslashes ?


---------------

Reply

Marsh Posté le 29-05-2008 à 16:38:21    

flo850 a écrit :

tu peux nous montrer comment tu utilise stripslashes ?


 
yep
 

Code :
  1. <?php
  2. //connect...
  3. if (isset($_POST['varts15'])
  4. {
  5. $var1 = (stripeslashes($_POST['var1']));
  6. if (isset($_POST['ts22'])
  7. {
  8. mysql_query("insert into faq (var1) value ("' . $var1 .'" )" );
  9. }
  10. ?>


 
en simple c'est comme ca...
bref j'avance pas de la meme maniere j ai test addslashes....
merci pour votre aide je suis malheureusement incapable de trouver tout seul c'est fou cela me semble si simple et finalement tellement compliqué  


---------------
Ritouné mwen lé ritounin
Reply

Marsh Posté le 29-05-2008 à 16:43:57    

tu regardes si  varts15  et ts22 sont pas vide  , mais tu traites var1


---------------

Reply

Marsh Posté le 29-05-2008 à 16:52:29    

non c'est juste que je ne les ai pas ecrit mais je les enregistres aussi mais c'est var1 qui m interesse au final c'est ce champ text dans le quel tout ce qui ce trouve apres un double quote est supprimé

Reply

Marsh Posté le 29-05-2008 à 16:56:58    

donc tu colle un bout de code qui n'a rien a voir [:rofl]
 
mysql_query("insert into faq (var1) value ("' . mysql_real_escape_string($var1) .'" )" );
 
sinon, sympa tes noms de variables, ca doit etre pratiqeu pour s'y retrouver


---------------

Reply

Marsh Posté le 29-05-2008 à 17:07:13    

lol merci  
 
j' ai juste ecourté parce que mon code n'est pas sur le meme poste j ai pas internet la ou je code bref tinket pas pour mes variable va en revanche j ai fait la meme et pas de text apres "
bizzard ?
 

Reply

Marsh Posté le 29-05-2008 à 17:12:11    

merci d'utilsier des mots complets et de la ponctuation
 
logiquement, avec mysql_real_escape_string , ca doit echapper les caractères spéciaux pour mysql et permettre l'insertion


---------------

Reply

Marsh Posté le 30-05-2008 à 08:41:16    

bonjour !
Désolé pour le sms...
 
J'ai testé une nouvelle fois ("' . mysql_real_escape_string($var1) .'" et rien a fair :/ il supprime le text entre ".
 
Y a t'il une option dans php.ini qui peut me bloquer ?
Si non avez vous une autre solution please ?
 
Merci pour votre aide.

Reply

Sujets relatifs:

Leave a Replay

Make sure you enter the(*)required information where indicate.HTML code is not allowed