1

Tengo un textarea al que le escribo una consulta como: SELECT* FROM usuarios para procesarlas en un documento php y poder extraer el resultado de dicha consulta.

Va todo bien en este aspecto, pero siempre que uso cláusulas, tales como: LIMIT o WHERE me manda un error 403 (Forbidden) indicando la ruta de mi archivo .php en donde proceso la consulta.

¿Por qué pasa esto? Estuve leyendo acerca de ello con problemas similares pero ninguno me ayudó. Tengo mi hosting en Godaddy y la información la proceso con JQuery y Ajax. Valoraré mucho cualquier ayuda al respecto. Gracias.

HTML

    <form>
       <label>Consulta</label>
        <textarea class="form-control" rows="3" placeholder="Consulta SQL"></textarea>
    </form>
    <hr>
    <button type="button" id="ejecutar-consulta" class="btn btn-default"><span class="glyphicon glyphicon-cog"></span> Ejecutar</button>

JQuery

var dataContent;
(function() {
    $('textarea').focus();
    $('body').on('click','#ejecutar-consulta', function() {
        $('#ejecutar-consulta').hide();
        $('textarea').removeAttr('style');
        $('.response-sql').html('<i style="font-size:17px;" class="fa fa-spinner fa-spin fa-3x fa-fw"></i> Ejecutando consulta...');
        var consulta = $('textarea').val().trim();
        if ( consulta.length > 0 ) {
            $.post('includes/herramientas/generador-reportes/controller.php',{key:'ejecutar-consulta',sql:consulta}, function(dataResponse) {
                dataContent = dataResponse;
            }).complete(function() {
                console.log(dataContent);
            })
        }
        else {
            console.log('Error al procesar la solicitud.');
        }
    });
})();

PHP

    $sql = $_POST['sql'];

    $DoQuery = $db->sql($sql);

    $GetColumns = mysqli_fetch_assoc($DoQuery);

    $headersTable = array_keys($GetColumns);

    while ( $f_informacion = mysqli_fetch_assoc($DoQuery) ) :
        $contentOne = array();
        for ( $i = 0; $i < count($headersTable); $i++ ) :
            $contentOne[] = utf8_encode($f_informacion[$headersTable[$i]]);             
        endfor;
        $contenidoSQL[] = $contentOne;
    endwhile;

1 respuesta 1

3

A. El error 403

El error 403 Forbidden (Prohibido), que estás recibiendo, indica que el servidor web cree que el flujo de datos HTTP enviado por el cliente era correcto, pero el acceso al recurso identificado por la URL está prohibido por alguna razón.

Es posible que tu archivo php o la carpeta donde se encuentra tengan restricciones de acceso indicadas en el archivo .htaccess o en otra parte.

B. Pero hay otra cosa mucho más grave: tu código es totalmente vulnerable a ataques SQL (SQL injection)

Jamás envíes consultas directas a tu base de datos, pero jamás.

Si tú permites enviar esto a la base de datos desde un input box o text area:

SELECT * FROM usuarios

y un usuario mal intencionado escribe esto:

SELECT * FROM usuarios; DELETE FROM tutabla; DELETE FROM tuotratabla

envías sin ningún tipo de control dos o más consultas a tu BD que se ejecutarían... sólo que la segunda y la tercera (en este caso) borrarían todos los datos de cualquier tabla que se indique en el DELETE.

O, más grave, un usuario mal intencionado podría obtener mediante consulta, las claves de accesso, o modificarlas.

Por favor, lee esto sobre Inyección SQL.

Solución a (B):

Usar siempre consultas preparadas y para la conexión a la BD usar PDO o Mysqli.

2
  • Gracias, @A. Cedano Valoro tus sugerencias, voy a echarles un vistazo y a aplicarlas. Después de hace tiempo, retomo yo esta cuenta donde la compartía con algunos compañeros para hacer preguntas. De igual forma, gracias, saludos. Commented el 8 ene. 2020 a las 19:42
  • 1
    Me alegro de que la respuesta te haya servido @FernandoTorres. He borrado los comentarios anteriores para limpiar la respuesta. Saludos.
    – A. Cedano
    Commented el 8 ene. 2020 a las 19:54

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.