SQL Injection Patching for PHP + MySQL

3 Tanggapan

Ini merupakan cara sederhana patch Bug SqlI Flaw di halaman dinamis PHP + MySQL.
Halaman dinamis adalah halaman yg isinya bisa berubah-ubah sesuai dengan parameternya. Contohnya index.php?id=1 maka isi dari halaman tersebut akan sesuai dengan parameter (kalau disini id) yang dimasukkan yaitu 1.
Biasanya Admin membuat halaman dinamis di PHP menggunakan MySQL untuk bisa koneksi dengan database. Dan terkadang query SQL dalam file php yang bersangkutan tidak dibatasi sehingga memungkinkan seseorang menginjeksi query sql lewat parameter di file php tersebut.Ok langsung saja

BUG
Biasanya kode di halaman dinamis kira-kira seperti ini untuk membaca parameter dan mengkoneksikannya dengan database.

$id = $_GET['id'];
$db_query = mysql_query("SELECT * FROM namadb WHERE id=$id");

Karena Tidak adanya filter di $id maka seseorang bisa memasukkan query di situ sehingga akhirnya dijalankan oleh mysql_query.
Patch
Nah Cara Filternya kurang lebih dengan menambahkan Kode sbb :

$idf = mysql_real_escape_string($id);
if (!ctype_digit($idf) || $idf < 0){ exit; } else { return $id; } }

jadinya seperti ini

error_reporting(0);

function filtering($id){
$idf = mysql_real_escape_string($id);
if (!ctype_digit($idf) || $idf < 0){ exit; } else { return $id; } } $id = $_GET['id']; $idf = filtering($id); $db_query = mysql_query("SELECT * FROM namadb WHERE id=$idf");

error_reporting(0) berguna agar mysql tidak mengeluarkan pesan error apabila terjadi error. Selanjutnya function filtering berguna untuk memfilter parameter masukan. Disini digunakan fungsi mysql_real_escape_string. Lalu dicek apabila parameter masukan mengandung karakter selain angka dan mempunyai nilai < 0 (biasanya orang akan me-minuskan parameter dalam melakukan sql injection) maka tidak akan dilanjutkan. Nah ini hanya salah satu contongnya saja,masih banyak cara yang lainnya,silakan di explore lagi.. di rangkum dari berbagai sumber,dan semoga bermanfaat - regard -