Проверка на недопустимость SQL-иньекций...

[StalkerClasses]

Только начинаю знакомиться с данным понятием.
Как понял что бы не допускать SQL-иньекций - надо писать правильные INSERT и UPDATE - запросы.
Особенно там, где данные в запрос вставляются переданные пользователем.

Вот здесь могут быть SQL-иньекции (пример UPDATE - с моего опроса и голосований)?

    $questionUpdateResult = $db->execQuery(" UPDATE `poll_question`
            SET `ip_addr` = IFNULL (CONCAT( `ip_addr`, '{$ip_addr}' ), '{$ip_addr}'), `counterz`=`counterz`+1
            WHERE `uid` = {$uidQuest} AND `ip_addr` NOT LIKE '%{$ip}%' LIMIT 1; ");


    // шаг 2. увеличиваем счетчик в ответах
                    $db->execQuery(" UPDATE `poll_answer`
                    SET `counterz`=`counterz`+1 WHERE `uid` IN (" . str_replace("|", ",", $implode) . ") ");

И вопросик - а чем максимально может граммотный SQL-иньекционщик навредить моему сайту?

 

[WMix]

чем максимально может граммотный SQL-иньекционщик навредить моему сайту

по минимуму "произвести акт дефекации" в твою базу, а вообще при правильных настройках, и сервер взломать

 

[StalkerClasses]

по минимуму "произвести акт дефекации" в твою базу, а вообще при правильных настройках, и сервер взломать

Т.е. туда можно упихать что-то типа eval('сервер накройся');?

 

[WMix]

StalkerClasses, ну не совсем так и важно чтоб все подыграли.
"сервер накройся" редко несет экономическую выгоду, гораздо лучше положить скриптик на сервер

 

[StalkerClasses]

StalkerClasses, ну не совсем так и важно чтоб все подыграли.
"сервер накройся" редко несет экономическую выгоду, гораздо лучше положить скриптик на сервер

Т.е. правильно понимаю, что это можно сделать только так?
eval('fopen("скрипт.php", "записываем небольшой вредоносный код")');

А после уже доделываем то, что нужно уже в этом скрипт.php ? и все...
Или можно еще как-то по другому сделать?

 

[WMix]

давай так, это не хакер.ру, я опасности описал, остальное в гугл

 

[Вурдалак]

[URL='http://phpclub.ru/talk/members/stalkerclasses.17625/']StalkerClasses, [/URL]работу найди, бездарь.

 

[StalkerClasses]

StalkerClasses, работу найди, бездарь.

Ищу...

давай так, это не хакер.ру, я опасности описал, остальное в гугл

Хорошо - и на этот спасибо большое.