Проблема с выводом!

[maximing]

Проблема с выводом!

Здравствуйте!

mysql_query("select * from vos_users where nick like '".$_GET['b']."%'")

Данный запрос должен получить все поля из таблицы, где поле nick начинается на определенную букву!
При запуске данного когда на сервере выводится чушь(например, ввожу букву А, а мне выводятся данные на А и другие буквы)!

Вот пример работы:

http://www.vos.too.kz/index.php?mod=users&b=А

Помогите разобраться в чем дело!

 

[Mr_Max]

echo $sql и просмотр сурса в браузере даст Вам ответ

 

[Фанат]

а мне кажется - дело в языковой настройке базы.
похоже на случай из фака

 

[Beavis]

такой запрос SQL-инъекцией пахнет....

 

[maximing]

Beavis я понимаю, но от иньекций фильтр есть.

К сожалению, так и не разобрался в чем дело. Написал админиам хостинга.

Кстати, заметил, что дома все работает, по крайней мере на Денвере.

 

[phprus]

maximing

К сожалению, так и не разобрался в чем дело. Написал админиам хостинга.

Совет фaнaтa выполнил? http://phpclub.ru/faq/wakka.php?wakka=Mysql41Rus&v=fid читал?

я понимаю, но от иньекций фильтр есть.

Данные нужно не фильтровать, а экранировать в них спецсимволы. Читай: PHP FAQ: \"Кавычки \". Cоставление запросов mysql, слеши, экранирование кавычек.

 

[maximing]

phprus, спасибо за пояснение.

 

[Фанат]

от иньекций фильтр есть.

можно поподробнее про фильтр?

 

[maximing]

Фaнaт

Фильтр примитивный, сильно не ругайте!

function injection($str)
 {
  $bad = array("'", "select", "drop", ";", "--", "insert", "delete", "xp_", "union", "like", "|",
               "!", "?", "%", "$", "&", "#", "@", "*", "^", "<", ">");
  for ($i = 0; $i < 22; $i++)
      {
       $str = str_replace($bad[$i], "", $str);
      }
  return $str;
 }

 

[SiMM]

http://phpclub.ru/talk/showthread.php?postid=743382#post743382

 

[dimagolov]

maximing, фильтр гениальный. То есть подразумевается что использовать слава select, drop, и т.д. в текствовых значениях твоей базы запрещено, это нечто матов в форуме, так?

 

[maximing]

Автор оригинала: dimagolov
maximing, фильтр гениальный. То есть подразумевается что использовать слава select, drop, и т.д. в текствовых значениях твоей базы запрещено, это нечто матов в форуме, так?

$_GET['b'] = injection($_GET['b']);

index.php?mod=users&b=А

Автор оригинала: dimagolov
это нечто матов в форуме, так?

Нет!

 

[dimagolov]

maximing, nick='unionist' все таки нельзя ведь использовать?

 

[maximing]

Автор оригинала: dimagolov
maximing, nick='unionist' все таки нельзя ведь использовать?

Да, вы правы.

 

[SiMM]

> maximing, nick='unionist' все таки нельзя ведь использовать?
Зато Unionist - можно.
Тем не менее - фильтр предлагает типичные костыли вместо соблюдения синтаксиса SQL-запросов. А при небольшой сноровке абсолютно бесполезен.

 

[Фанат]

maximing
но теперь ты понял, что этот фильтр бессмысленный, и знаешь, как делать правильно?

 

[maximing]

SiMM

Тем не менее - фильтр предлагает типичные костыли вместо соблюдения синтаксиса SQL-запросов. А при небольшой сноровке абсолютно бесполезен.

Спасибо за разьяснение.

Фaнат

но теперь ты понял, что этот фильтр бессмысленный, и знаешь, как делать правильно?

Я думаю воспользуюсь данным советом и все исправлю. Спасибо.

Данные нужно не фильтровать, а экранировать в них спецсимволы. Читай: PHP FAQ: \"Кавычки \". Cоставление запросов mysql, слеши, экранирование кавычек.