2

Mi profesor me dijo que hay errores de seguridad en mi codigo pero no se de que es lo que esta mal. Ayuda!

$conn = new mysqli($servername, $username, $password, $dbname);

// Check connection
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
    }

// prepare and bind
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) 
VALUES (?, ?, " . $_POST['email'] . ")");
$stmt->bind_param("ss", $firstname, $lastname);
$stmt->execute();


$stmt->close();
$conn->close();
3
  • Haces ese insert desde un form o como?? el 24 jul. 2017 a las 23:45
  • 4
    Un error que yo veo es que $_POST['email'] lo estás ingresando a la consulta sin hacer bind_param que justamente sirve para evitar inyecciones SQL
    – Yikarus
    el 24 jul. 2017 a las 23:48
  • El problema es que email debería ir entrecomillado al ser una cadena. Pero en lugar de solucionarlo así, haz lo que dice @Lixus y agrégalo al bind_param para evitar ataques de inyección SQL.
    – Alvaro Montoro
    el 24 jul. 2017 a las 23:55

4 respuestas 4

2

Tienes una posible inyección de SQL por utilizar en la consulta (en el prepare) una variable cuyo contenido viene de la parte del usuario y de la cual no estás haciendo ningún tipo de control de si te meten algún ataque SQL.

En tu caso la solución más rápida sería cambiar el código por esto. Al colocar el $_POST['email'] en el bind_param evitas que te puedan meter una inyección de SQL, ya que el bind_param se encarga de ello.

$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) 
VALUES (?, ?, ?)");
$stmt->bind_param("sss", $firstname, $lastname, $_POST['email']);
0

Cuando preparamos las consultas con prepare ( ) no se deben pasar parámetros dinámicos en la preparación de una consulta solo se debe pasar la parte estática de la consulta y nunca parámetros externos.

Para que me entiendas lo que conseguimos y buscamos con esto, es que la parte del prepare ( ), nunca pueda ser alterada por un usuario malicioso, también conseguimos que si tenemos múltiples registro a insertar no tengamos que volver a preparar la consulta, solo ligar los parámetros y ejecutar por cada nuevo registro.

Vemos tu código:

// Establecemos la conexion
$conn = new mysqli($servername, $username, $password, $dbname);

// comprobamos que se haya establecido correctamente 
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
    }

// Preparamos la consulta
// en esta parte no se deben pasar parámetros externos
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) 
VALUES (?, ?, " . $_POST['email'] . ")");

// Asignamos los parámetros a la consulta previamente preparada
// aquí es donde se deben pasar lo parámetros no en el prepare
$stmt->bind_param("ss", $firstname, $lastname);

// ejecutamos la consulta
$stmt->execute();

Veamos pues como quedaría tu código después de tener estas cosas en cuenta:

// Establecemos la conexion
$conn = new mysqli($servername, $username, $password, $dbname);

// comprobamos que se haya establecido correctamente 
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
    }

// Preparamos la consulta
// en esta parte no se deben pasar parámetros externos
$stmt = $conn->prepare("INSERT INTO MyGuests (firstname, lastname, email) 
VALUES (?, ?, ? )");

// Asignamos los parámetros a la consulta previamente preparada
// aquí es donde se deben pasar lo parámetros no en el prepare
$stmt->bind_param("sss", $firstname, $lastname, $_POST['email'] );

// ejecutamos la consulta
$stmt->execute();

Fijate que en la preparación solo ponemos los operadores de posición ? en lugar de pasar el dato directamente.

-1

Al pasar los datos que recibes por POST directamente a tu consulta sql no evitas que ataquen a tu sitio con una inyección sql:

Inyección SQL es un método de infiltración de código intruso que se vale de una vulnerabilidad informática presente en una aplicación en el nivel de validación de las entradas para realizar operaciones sobre una base de datos.ver más

Para solucionar este problema de seguridad es recomentable que antes de hacer la consulta hagas un bind_param o que utilices este método isset( $_POST['data'] )? $_POST['data'] : 'No se han recibido datos'; para evitarlo

-2

Deberías cambiar el método de obtener los datos de url para insertar el la base de datos, ya que si utilizas $_GET o $_POST tu sitio es propenso a recibir inyecciones de codigos externas y eso puede generar un problema de seguridad.

Es más recomendable que uses este método:

isset( $_POST['datos'] )? $_POST['datos']  : 'No Hay Datos';

Así, como dije, evitas inyecciones.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.