Penanganan SQL Injection
beberapa cara yang saya ketahui untuk menangani SQL INJECTION adalah sebagai berikut.- merubah setting php.ini dan mengganti magic_quotes_gpc=off, magic_quotes_runtime= off, magic_quotes_sybase = off, di ubah menjadi ON semua, namun untuk setting php.ini du beberapa kasus masih bisa di bypass dengan mengupload php.ini milik sendiri yang sudah di modifikasi sebelumnya.
- menggunakan mysql_ecape_string($sql) sebelum di query menggunakan mysql_query();
Cara pencegahan SQL INJECtION
- batasi panjang input box (jika memungkinkan),dengan cara membatasinya di kode program, jadi si attacker akan bingung sejenak melihat input box nya gak bisa diInject dengan perintah yang panjang.
- filter input yang dimasukan oleh user, terutama penggunaan tanda kutip tunggal (input Validations)
- matikan atau sembunyikan pesan-pesan error yang keluar.
- matikan fasilitas-fasilitas standar seperti stored Produres, Extended stored procedures jika memungkinkan
No comments:
Post a Comment