SQL Injection

[TheGodfather]

Salut, cum se pot rezolva problemele legate de sql injection? Am vazut ca una din metode ar fi folosirea de %e in loc de %s ca in exemplul de mai jos.

Sql injection: format(gQuery, sizeof(gQuery), "SELECT * FROM users WHERE `name`='%s' AND `password`='%s' LIMIT 1", GetName(playerid),password);

Fara sql injection: format(gQuery, sizeof(gQuery), "SELECT * FROM users WHERE `name`='%e' AND `password`='%e' LIMIT 1", GetName(playerid),password);

[segmentationfault]

 

[TheGodfather]

2 minutes ago, segmentationfault said:

 

Stiu ce este, eu intrebam cum pot rezolva pentru samp

[segmentationfault]

[TheGodfather]

Deci rezolvarea e cum am spus mai sus? Doar schimb %s cu %e unde folosesc orice forma de mysql?

[segmentationfault]

Da... `e` vine de la `escape`, basically apeleaza functia automat `mysql_escape_string` pe argumente.

[TheGodfather]

9 minutes ago, segmentationfault said:

Da... `e` vine de la `escape`, basically apeleaza functia automat `mysql_escape_string` pe argumente.

Multumesc