Sitemdeki SQL Açıklarını Kapatmak İçin PDO Kullandım bu bypass edilebilirmi yada bir yolu varmı denemek istiyorum
Php PDO bypass edilebilir mi?
- Konbuyu başlatan GoD NeMeSiS
- Başlangıç tarihi
- 17 Eyl 2023
- 1,349
- 623
PDO'nun kullanılması SQL enjeksiyonlarına karşı etkili bir koruma sağlasa da, kötü niyetli kullanıcılar tarafından exploit edilebilecek bazı durumlar vardır. Bunlar arasında kullanıcı girişi alanlarının yeterince doğru bir şekilde doğrulanmaması veya hazırlanan SQL ifadelerinin hatalı bir şekilde oluşturulması gibi durumlar bulunabilir.
Sql injection açıklarından korunmada PDO büyük ölçüde yeterli gelecektir ancak burada PDO'yu nasıl kullandığınız da önemli yani $db->query("SELECT * FROM users where user_id=".$id); v.b. Bir şekilde kullandıysanız PDO kullanmanız pek bir işe yaramayacaktır ama eğer user_id=? şeklinde soru işaretli sorgularla yazdıysanız sql injection açıklarının önünü büyük ölçüde kesecektir yani burada asıl mevzu parametreyi sorguya değil de execute fonksiyonuna vermek veya bindParam gibi yardımcı metodlarla kullanmaktır.
şimdi hocam pdo yu
buraya koyduğunda yinede sqlmap açık bulamıyor sizce normalmı manuel ınject fazla bilmiyorum
| sen burda id değişkenini direk sorgunun içerisine vermişisin o yüzden "user_id" parametresine dışarıdan kod eklenebilir aşağıda veridiğim şekilde kullanabilirsin $test = $db->prepare("SELECT * FROM users WHERE user_id = ?"); $test ->execute([$id]); |
