0

tengo un problema para obtener datos de una tabla e introducir dichos datos en otra tabla diferente. La obtencion de los datos de la primera tabla esta bien, el problema surge al intentar almacenar los datos obtenidos en la segunda table. Aquí esta el codigo usado. Si alquien puede ayudarme... Gracias!

introducir el c<?php
require '../../include/db_conn.php';
$compra = $_GET['art'];//se recoge de un formulario el valor de art que se almacena en $compra
//hago una consulta en tabla ofertasp donde busca un id= $compra (es unico)
$query = "select * from ofertasp where id = '$compra'";
$result= mysqli_query($con, $query);
//se recogen y muestran los datos)
    while($row = mysqli_fetch_array($result, MYSQLI_ASSOC)) {
        echo "<div class='caja'>". $row['id']. "<br>";
        echo $row['tit']. "<br>";
        echo $row['car1']. "<br>";
        echo $row['car2']. "<br>";
        echo $row['precio'];
        echo "</div>";
//aqui viene lo que falla. No puedeo hacer otra consulta que meta los valores obtenidos en otra tabla
$query2 = "insert into facturas (tit,car1,car2,car3,precio) values ('$row["tit"]','$row["car1"]','$row["car2"]','$row["car3"]','$row["precio"]')";
$result2= mysqli_query($con, $query2);
        }
?>

1 respuesta 1

1

Tienes un error de syntax debido a las comillas. Debes escapar las variables. Cambia esto:

"insert into facturas (tit,car1,car2,car3,precio) values ('$row["tit"]','$row["car1"]','$row["car2"]','$row["car3"]','$row["precio"]')"

por esto:

"insert into facturas (tit,car1,car2,car3,precio) values ('".$row["tit"]."','".$row["car1"]."','".$row["car2"]."','".$row["car3"]."','".$row["precio"]."')"
6
  • Perfecto! Graciass!
    – Adrian
    Commented el 3 sept. 2017 a las 19:41
  • Estamos ante un código totalmente vulnerable a la Inyección SQL.
    – A. Cedano
    Commented el 3 sept. 2017 a las 21:59
  • Gracias por el aporte, esta muy bien detallado. Seguiré sin duda alguno de los ejemplos que muestra. Una pregunta: el ejemplo que muestra para el ataque por inyeccion sql veo que el atacante debería conocer el nombre de la tabla ¿no? Supongo que es facil adivinar nombres comunes que se suelen poner a las tablas pero tambien se pueden ofuscar un poco para no ser tan evidentes. Por otra parte también podría añadir un if que filtre el valor de $compra que en este caso seria 1,2 o 3 para evitar la inyección. Aunque sin duda sus soluciones seran mas acertadas ¿que opina de esta? Gracias
    – Adrian
    Commented el 4 sept. 2017 a las 19:10
  • Bastaría con un index.php?art=';<cualquier consulta sql aquí, incluido borrar toda la base de datos>
    – Nache
    Commented el 4 sept. 2017 a las 20:33
  • @Adrian si te aseguras de filtrar bien lo que le pases a la consulta sql no debería haber ningún problema.
    – Nache
    Commented el 4 sept. 2017 a las 20:39

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.