par
ouiouioui » 05 juin 2007, 18:01
Bonjour, je suis novice en ce qui concerne la sécurité, j'ai lu des centaines de pages sur le sujet, je crée un mini site avec compte et lors de l'enregistement aprés soumission d'un formulaire voici ma requête, est ce que c'est sécurisé?:
Code : Tout sélectionner
$mysql est ma connection mysql
function donnees_mysql($requete) {
global $mysql;
$result = mysql_query($requete, $mysql) or die('Erreur requête - ' . mysql_error());
return $result;
}
function clean($user) {
if(get_magic_quotes_gpc()) {
if(ini_get('magic_quotes_sybase')) {
$user = str_replace("''", "'", $user);
} else {
$user = stripslashes($user);
}
}
return $user;
}
$pass = md5($_POST['pass']); //je md5 le pass la car je le compare à une autre var
$user = clean($_POST['user']);
$query = sprintf("INSERT INTO " . $db['prefix'] . "_users (`user`, `pass`, `mail`) VALUES ('%s', '$pass', '%s')", mysql_real_escape_string($user, $mysql), mysql_real_escape_string($_POST['mail'], $mysql));
$requete_mysql = donnees_mysql($query, $mysql);
merci d'avance a ceux qui m'aiderons, car ainsi je peux créer des user '' ' text ' mais je ne sais pas faire d'injection sql donc je sais pas trop comment tester la sécurité
Bonjour, je suis novice en ce qui concerne la sécurité, j'ai lu des centaines de pages sur le sujet, je crée un mini site avec compte et lors de l'enregistement aprés soumission d'un formulaire voici ma requête, est ce que c'est sécurisé?:
[code]
$mysql est ma connection mysql
function donnees_mysql($requete) {
global $mysql;
$result = mysql_query($requete, $mysql) or die('Erreur requête - ' . mysql_error());
return $result;
}
function clean($user) {
if(get_magic_quotes_gpc()) {
if(ini_get('magic_quotes_sybase')) {
$user = str_replace("''", "'", $user);
} else {
$user = stripslashes($user);
}
}
return $user;
}
$pass = md5($_POST['pass']); //je md5 le pass la car je le compare à une autre var
$user = clean($_POST['user']);
$query = sprintf("INSERT INTO " . $db['prefix'] . "_users (`user`, `pass`, `mail`) VALUES ('%s', '$pass', '%s')", mysql_real_escape_string($user, $mysql), mysql_real_escape_string($_POST['mail'], $mysql));
$requete_mysql = donnees_mysql($query, $mysql);[/code]
merci d'avance a ceux qui m'aiderons, car ainsi je peux créer des user '' ' text ' mais je ne sais pas faire d'injection sql donc je sais pas trop comment tester la sécurité :(
