Ошибка в sql записи. Как исправить?

Question

[Евгений Усачев]

Я плохо знаю организацию строк sql. Тем не менее мне это потребовалось. Я реализовал это в php.

<?php
    $SearchTitle/*Что искать */ = $_POST['SearchTitle'];
    $SearchFrom /*С какой позиции искать */ = $_POST['SearchFrom'] > 0 ? $_POST['SearchFrom'] : 1;
    $SearchFrom -= 1;
    if (!isset($SearchTitle) ){
        echo 'Error one'; //Нет SearchTitle
        exit;
    }
   $mysql = new mysqli('hey','root','db_create.php','hey'); 
   $Result = $mysql -> query("SELECT * FROM `users_files(music)` WHERE `name` 
     LIKE '%$SearchTitle%' ORDER BY `number_of_eavesdroppers` DESC LIMIT ($SearchFrom, 20)");

В последней строке ловлю ошибку, мол

Uncaught mysqli_sql_exception: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near '(0, 20)'

Я думаю, что ошибся где-то в скобках или кавычках. Как правильно записать эту строку?

Answer 1

[Дмитрий]

LIKE '%$SearchTitle%' ORDER BY `number_of_eavesdroppers` DESC LIMIT $SearchFrom, 20");

Скобочки лишние

З.Ы. А вы понимаете что первый скрипткиддис снесет вам все?

Comments

[Евгений Усачев]

Спасибо

[toxa82]

Он не понимает что в лимите скобки не надо, а вы ему про sql-инъекции.

[Дмитрий]

toxa82, ну мое дело предупредить.

[Евгений Усачев]

toxa82, Я даже не знал об этом. Спасибо, что направили в нужное русло. (Пишу не автору, так как он не написал само название хакерской атаки ). Если вас не затруднит, не могли бы вы перечислить ещё возможные атаки?

[Дмитрий]

Евгений Усачев,

не могли бы вы перечислить ещё возможные атаки?

а зачем больше если отправка sql вместо SearchTitle даст полный контроль над вашей базой данных?

[Евгений Усачев]

Дмитрий, Потому что после исправления этой ошибки, я займусь другими. Чем больше этих ошибок я узнаю, тем меньше багов будет в будущем.

[Дмитрий]

Евгений Усачев, ну в данном коде у вас только построение запроса. По этому в этом коде можно сломать только запрос.

[toxa82]

Евгений Усачев, ну насчет БД больше атак не знаю, но если у вас есть формы и поля с пользовательским выводом, то сможет XSS атака.
Для борьбы с SQL-инъекциями лучше использовать подготовленные запросы, подробнее:
в mysqli https://www.php.net/manual/ru/mysqli.quickstart.pr...
но мне больше нравиться это в PDO через https://www.php.net/manual/ru/pdostatement.bindval...