Merhaba hocalar, PHP ile pek aram yoktur, blog - toplist vs. saçma şeyler yazdığım oldu 3 - 4 sene nce ama php de şuan en ufak bi hatayı bile gideremiyorum. nümüzdeki 1 ayımı PHP'ye vereceğim. Ve şuan aktif olarak satışta olan parça kontr sitemi php ile sıfırdan yazmak istiyorum. Mantık olarak neyin gizlenmesi neyin gsterilmesi gerektiğini biliyorum. Sizden istediğim, SQL inj olaylarından korunma vs. asp'deki mantıkla aynı mı? Yani aynı algoritma ile php de de kendimi koruyabilirmiyim? seni 4 kere dverim yarın

asp hiç bilmiyorumda asp de yntem nasıl ki? Bittik biz bittik

hocam sql injection için ben ezsql class yapısını kullanıyorum yaptığım testlerde daha aşamadım ezsql ve yaptığım projelerin hiç birindede sorunla karşılaşmadım ezsql kullanırsan kafan rahat eder sql injection konusunda artı olarak ezsql de cache zelliği felanda var ve çok rahat yazımı var incelemeni neririm :) İndirme Adresi: http://justinvincent.com/ezsql Kısaca Türkçe açıklaması ve rnek kodları: http://www.yakuter.com/ezsql-veritabani-sinifinin-kullanimi/

şimdi php de o işler için fonksiyonlar var. sql inj için mesela mysql_escape_string. ama genelde sql injection açıkları ya değişkenlerin fonksiyona sokulmasının unutulmasından yada mantık hatalarından oluşuyor. mesela formdan array değer post ettiğin zaman her değeri bu fonksiyona sokman lazım. bunla çoğu insan ne olucak diyip bırakıyor. array_map_r ile kolayca array için fonksiyon çalıştırılabilir. bu dediğime genelde anketlerde rastlanabiliyor. bide genelde amatr scriptleri incelediğimde sadece get verilerinin fonksiyona sokulduğunu grüyorum. post verisi adres çubuğunda gzükmediği için pek korkmuyorlar sanırım ama ha get ha post değeri hiç bişey farketmiyor. sql injection dışında. db den falan çekilen kullanıcının güncelleyebildiği alanlara html kod sokulmaya çalışabilir onun içinde htmlspecialchars fonksiyonu var.html taglarını dnüştürür. < tagını mesela kaynakta &#60; tarzı bi şekilde grürsün. byle olunca grüntü olarak < verir ama işlevsel olarak html tagından çıkmış olur. eğer html taglarını tamamen yok etmek istersen strip_tags fonksiyonunu kullanabilirsin. bu fonksiyonda belli başlı tagları yasaklayıp belli başlı taglarada izin verebiliyorsun. ama baya alengirli şeyler düşünebiliyor html tagı gmme olayında.htmlspecialchars tamamen etkisiz hale getiriyor. ama strip_tags ta belli başlı taglara izin verirsen bazı browserlarda çeşitli sorunlar yaratabiliyor. mesela img tagına izin verdin diyelim sadece adam gidip <img onmouseover="xss"> şeklinde bişi gmerse çalışabilir. Bittik biz bittik

işte url'de id integer olsun, ne bileyim textbox dan gelen veriyi replace et gibi hocamü EnableTurk tarafından 12/Tem/13 04:19 tarihinde düzenlenmiştir seni 4 kere dverim yarın