como es la consulta parametrizada php?

[[kayetano]]

Hola

Empezado por emilio

¿Qué tiene de malo?

Nada de nada, simplemente que yo lo veo más claro y lo pongo como alternativa.

[Mick]

Solo comentar que se deberia procesar la variable $buscar con alguna
funcion como mysql_real_escape_string antes de pasarsela al query.

El codigo que muestras permite ataques por injeccion de sql, simplemente poniendo el comando adecuado en el campo de busqueda de esa pagina web cualquiera te podria borrar la base de datos entera.

Saludos

[roman]

Pero si la consulta es un SELECT, ¿cómo podría inyectarle algo que borre?

// Saludos

[*Emilio*]

Empezado por roman

Pero si la consulta es un SELECT, ¿cómo podría inyectarle algo que borre?

Entiendo que Mick se refiere a poder alcanzar privilegios y a continuación hacer el delete, lo cual no es fácil pero no imposible.

[[kayetano]]

Hola

Como poderse se pueden hacer muchas cosas, por ejemplo:
Tenemos el siguiente select:

Código PHP:

$sql = "SELECT * FROM eq_proveedores WHERE PROVEEDOR LIKE '%".$_POST['buscar']."%' ORDER BY PROV_ID"; 


Supongamos que me monto un form que llama a nuestro script y meto como valor de "buscar" el siguient texto

Código PHP:

$_POS['buscar'] = "' OR 1 OR like '"; 


Con esto podríamos obtener todos los proveedores, pero hay un gran problema se debe conocer la consulta y por lo general esto no sucede.
De esta misma forma se podría obtener información de las bases de datos y tablas con SHOW DATABASES, pero igualmente debemos conocer la estructura de la consulta y que el código permita desarrollar la consulta modificada..
El mayor problema que podemos tener es que se incluya una comilla simple en nuestra búsqueda con lo que probocaremos un error en la consulta.

Existen muchas funciones para filtrar los parametros mandados por formularios como pueden ser "AddSlashes" y "strip_tags" para evitar algún tipo de código HTML o PHP.

[dec]

Hola,

Empezado por Kayetano

Yo por lo general solo pongo ISSET() y si el usuario busca un espacio en blanco ... pues que lo busque.

No; no me refería yo a eso Kayetano. Cuando se trataba de comprobar el "$_POST['buscar']" con la función "isset" no sera tanto para evitar buscar "nada", sino porque de no existir el índice 'buscar' en la variable (Array) "$_POST", PHP retornaría un mensaje error, aunque creo que se trata sólo de una advertencia o una "noticia".

[roman]

¿Que no es lo mismo que dice kayetano? Él usa isset() igual que tú para asegurarse que exista la entrada 'buscar' en el arreglo asociativo $_POST. La otra parte de tu condición es la que él omite pues <<si el usuario busca un espacio en blanco ... pues que lo busque>>.

// Saludos