0

Hola tengo un script en PHP quiero hacer una consulta por medio de mysql pero me dice error

Les dejo el codigo por si me pueden ayudar, ya dure todo el dia y la noche y no encuentro la solucion.

<?php   

$codi=$_POST['cp'];

    $servidor = "localhost";
    $usuario = "";
    $password = "";
    $db = "";
    
    // Create connection
        $conexion = new mysqli($servidor, $usuario, $password, $db);
            //checar conexion
    if ($conexion->connect_error) 
    {
    die("Connection fallida: " . $conexion->connect_error);
    } 
    
        $sql = ("SELECT * FROM tijuana WHERE codigo LIKE $codi");

 Aqui es donde me da el error, estoy trabajando con PHP7 y como BD MariaBD. Muchas gracias por su ayuda
4
  • Hola, mira ya le moví y me da los datos que tengo en la base de datos, ahora lo que me gustaría es corregir como puedo por medio de una variable (POST) decirle que dato mostrarme en la consulta, muchas gracias por contestar.
    – Diego Leon
    Commented el 16 jul. 2020 a las 1:03
  • Como te dije lo acabo de corregir moviendo los script de PHP, -.- no me deja usar LIKE dentro del SELECT
    – Diego Leon
    Commented el 16 jul. 2020 a las 1:06
  • Ándale pues bye
    – Diego Leon
    Commented el 16 jul. 2020 a las 1:09
  • Amigo, tu codigo esta toltamente vulnerable a injecciones de sql. Recuerda que siempre que hagas una consulta a tu base de datos, debes hacerla por medio de declaraciones preparadas. Ademas por motivos de seguridad nunca desplieges manualmente los errores de conexion a la base de datos. Saludos.
    – xelfury
    Commented el 16 jul. 2020 a las 4:50

1 respuesta 1

0

Primero que nada a ese LIKE le faltan comillas.

Ejemplo de un like que debería funcionar:

SELECT * FROM tijuana WHERE codigo LIKE '023%'

El like es para cadenas de texto no para números (en caso de que ese codigo sea numérico.

El código quedaría así:

$sql = ("SELECT * FROM tijuana WHERE codigo LIKE '$codi'");

Segundo si en ese $codi te envío algo tipo: 023%' OR 'a'='a tu query quedaría así:

SELECT * FROM tijuana WHERE codigo LIKE '023%' OR 'a'='a'

En si misma esa query no es muy peligrosa pero puedo empezar a hacer consultas a otras tablas, intentar sacar usuarios y sus contraseñas etc etc. A dicho ataque se le conoce cómo SQL Injection

Mi consejo es que mires un poco los prepared statements, que no son otra cosa que queries preprocesadas donde le indicas cuantos parámetros le pasarás y php se encarga de escaparlas automáticamente.

Quedaría algo así:

$sentencia = $mysqli->prepare("SELECT * FROM tijuana WHERE codigo LIKE '?'")
$sentencia->bind_param("s", $codi)
$resultado = $sentencia->execute()
$sentencia->close();

De esta forma la query anterior estaría correctamente escapada y no se podría usar para sql injection

1
  • 1
    No hay necesidad de poner entre comillas el marcador de espacio
    – user128299
    Commented el 15 sept. 2020 a las 9:56

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.