Поможет ли такой php-код защититься от sql-инъекций и XSS, какие в нём есть уязвимости?

Question

[Иван]

$this->post = str_secure($_POST);
$this->get = str_secure($_GET);
$this->session = str_secure($_SESSION);
$this->cookie = str_secure($_COOKIE);

 function str_secure($str, $int=0)
{
    if (is_array($str))
    {
    foreach($str as $k=>$s)
    $str[str_secure($k)]=str_secure($s);}
    else{
$str = str_replace(array("\r\n","\r","\n","\t"), ' ', $str);
    $str = trim(strip_tags($str));
    $str=str_replace("'",''', $str);
    $str=str_replace('"','"', $str);
    $str=addslashes($str);  
    if ($int==1){
     $str = abs((int)($str));    
    }}
    return $str;
}

Понимаю, что правильно использовать bindParam и плейсхолдеры, но сами sql-запросы переписать не смогу, так как их очень много.
В проекте не используется MySQLi, так бы real_escape_string заюзал.

Одну, пожалуй, сам напишу, если $_GET['param1'] должен быть только целочисленный, то придётся отдельно описать его, иначе строку могут впихнуть.

Answer 1

[FanatPHP]

Все что делает этот идиотский код - это портит входящие данные.
Я даже не знаю, стоит ли объяснять. Ведь 100500 раз уже объясняли.

Но самый, конечно ад - это ответы.

Когда начинаешь этим щеночкам объяснять, что такое инъекция, и как от нее защититься, все начинают шипеть - "да знаем уже, учоные!". Но когда доходит до дела - такой ад выдают, что становится понятно. Не учёные, а все те же обезьяны, которые вызубрили пару заклинаний, но по традиции не понимают, ни как эти заклинания работают, ни для чего они нужны.

Тем, кто предлагает отрезать кавычки от quote, надо самим что-нибудь отрезать.

И это неловкое чувство, когда 2015 году слышишь самую заветную мантру мадагаскарских гамадрилов: "mysql_real_escape_string зашышает от ынъекцый!". Стоит, блин, такой "устаревший", но еще крепкий архангел с пылающим мечом, и разит супостата прямо в темечко - вот так представляет себе принцип работы этой функции средний пользователь похапе.

Answer 2

[Melkij]

Вновь магические кавычки изобретаете?
От самых тупых атак поможет. Самому себе проблем добавит over9000.
addslashes пробить можно атакой на кодировку.

В проекте не используется MySQLi, так бы real_escape_string заюзал.

Вы так пишете, как будто эти два независимых высказыванию есть причина и следствие.
Раз есть SQL - значит есть драйвер БД. Не помню ни одного драйвера, который бы даже при наличии подготовленных запросов не предоставлял экранирующий метод.

Answer 3

[index0h]

На что только люди не идут, что бы не использовать PDO.

Если уже пошла такая пьянка - почему непечатаемые символы не убираешь?
+ html_entity_decode можно пройтись на всякий пожарный.

Answer 4

[Назар Мокринский]

1) Использовать ::quote() и убирать крайние кавычки
2) Нагло использовать устаревшую, но всё ещё присутствующую mysql_real_escape_string()

Comments

[FanatPHP]

Сотри, пожалуйста, свой ответ. Он идиотский.

[Андрей Галкин]

Глупо предлагать использовать то что по умолчанию не входит в стандартную поставку PHP, то что уже сегодня известно, что будет удалено завтра.

Answer 5

[WebSpider]

> В проекте не используется MySQLi, так бы real_escape_string заюзал.
А что используется? В MySQL как бы тоже есть функция mysql_real_escape_string

Comments

[Иван]

PDO используется, но описал выше почему не могу использовать bindParam и плейсхолдеры

[WebSpider]

Ну в таком случае используйте php.net/manual/ru/pdo.quote.php
Или к объекту PDO тоже доступа не получить?

[Иван]

quote берёт строку в кавычки, кроме того что экранирует, и это ломает большое кол-во запросов

[Melkij]

Пф, нашли проблему. Строковые функции вам на что?

[Иван]

ок, попробую сделать quote, а потом обрезать кавычки по краям.

[FanatPHP]

Melkij: Не надо писать херню. КАКОЙ СМЫСЛ делать quote и потом делать обрезание?

[Melkij]

FanatPHP:
> КАКОЙ СМЫСЛ делать quote и потом делать обрезание?
Мимикрировать под поведение экранирования, на которое ориентировано порядком существующего кода.
Чтобы мигрировать на нормальный PDO сразу и затем в спокойном режиме аккуратно заменять запросы на подготовленные.
Читайте исходный вопрос (про что вы очень любите на гране цензуры истерить)
> sql-запросы переписать не смогу, так как их очень много.

А, вы ответить не сможете ещё долго. Наконец-то.

Answer 6

[Володимир Годяк]

php.net/manual/ru/function.filter-var.php в помощь

Comments

[Володимир Годяк]

OnYourLips: ето первое пришло в голову. Согласен, грамотно написанний sql код не боитса инекций