Reprise du message précédent :

 
masklinn sort du corps de theredled

 
En plus de l'abus d'utilisation des tables (OMFG), faudra qu'on m'explique l'intérêt de faire une boutique en ligne en Flash D'autant que ça n'apporte absolument rien du tout là  

Rah, un de mes sites viens d'être hacké, j'ai un peu les boules
 
Enfin le hacker a été gentil il a juste posté une news.
 
Par contre je sais pas comment il a fait

URL du site ?

www.european-team.fr

Est-ce que cette requête est sécurisée ?
 

if(!empty($pass)) {
$sql .= "pass = '".md5($pass)."', ";
}
 
$sql .= "email = '$email', msn = '$msn', nom = '$nom', prenom = '$prenom', ville = '$ville', avatar = '$avatar', config = '$config', coment = '$coment', admin = '$admin' WHERE id='".(integer)$ed."' ";

 
Parce que la seule possibilité qu'on les membres au niveau interaction, c'est la gestion de leur profil et il n'y a que cette requête
 
Sinon la connexion à l'espace admin se fait comme suit :
 

<?php
$_SESSION['admin'] = false;
session_start();
require('includes/config.inc.php');
 
$nick = trim($_POST['pseudo']);
$pass = md5(trim($_POST['pass']));
 
mysql_connect(HOSTNAME, USERNAME, PWD);
mysql_select_db(DBNAME);
 
$select = mysql_query("SELECT * FROM membres WHERE pseudo='".mysql_real_escape_string($nick)."' AND pass='".mysql_real_escape_string($pass)."'" ) or die(mysql_error());
$select2 = mysql_fetch_array($select);
 
if($select2 & $select2['admin'] == '1') {
    
$_SESSION['pseudo'] = $nick;
$_SESSION['admin'] = true;
 
header("Location: admin.php" );
 
} else {
?>
Vous n'êtes pas autorisés à vous connecter à l'espace d'administration.
<?php
}
mysql_close();
?>

if(!empty($pass)) {
$sql .= "pass = '".md5($pass)."', ";
}
 
$sql .= "email = '$email', msn = '$msn', nom = '$nom', prenom = '$prenom', ville = '$ville', avatar = '$avatar', config = '$config', coment = '$coment', admin = '$admin' WHERE id='".(integer)$ed."' ";

Bah, ça dépend, comment récupères tu $email/$nom/$prenom/etc. ?

Bon, bah je pense savoir pourquoi :
 

$ed = $_POST['ed'];
$pseudo = trim($_POST['pseudo']);
$pass = trim($_POST['password']);
$pass_verif = trim($_POST['password_verif']);
$email = trim($_POST['email']);
$msn = trim($_POST['msn']);
$nom = trim($_POST['nom']);
$prenom = trim($_POST['prenom']);
$ville = trim($_POST['ville']);
$avatar = trim($_POST['avatar']);
$config = trim($_POST['config']);
$coment = trim($_POST['coment']);
$admin = trim($_POST['admin']);

$ed = $_POST['ed'];
$pseudo = trim($_POST['pseudo']);
$pass = trim($_POST['password']);
$pass_verif = trim($_POST['password_verif']);
$email = trim($_POST['email']);
$msn = trim($_POST['msn']);
$nom = trim($_POST['nom']);
$prenom = trim($_POST['prenom']);
$ville = trim($_POST['ville']);
$avatar = trim($_POST['avatar']);
$config = trim($_POST['config']);
$coment = trim($_POST['coment']);
$admin = trim($_POST['admin']);

 
Aïe.
Ca craint ça.
 

ça craint mais d'un autre coté, c'est rassurant de trouvé tout de suite une cause probable.

Addslashes sur tout ?

J'ai pas l'habitude de travailler avec une variable globale seule.
 
Si je fais ça, c'est bon ?
 
mysql_real_escape_string($_POST);
 
Et à la suite, il y aurait le gros pâté que j'ai collé un peu plus tôt.

Non non, si ta donnée doit être un numéro, tu fais un intval($_POST['madata']); sinon tu fais un mysql_real_escape_string($_POST['madata']);
Oui c'est long, tu peux faire une fonction si tu veux
$madata= mres($_POST['madata']);
function mres($data) {
return mysql_real_escape_string($data);
}
 
Enfin y'a plein de solution possible, passer par une class mysql ou autre.
Mais mysql_real_escape_string obligatoire.

 
Ca c'est pas valable ?

Comme quoi ?

Formulaire, input toto attend un chiffre, l'user rentre "PD".

$monchiffre= mysql_real_escape_string($_POST['toto']);
mysql_query("SELECT toto FROM table WHERE chiffre=$monchiffre" );

$monchiffre= intval($_POST['toto']);
mysql_query("SELECT toto FROM table WHERE chiffre=$monchiffre" );

L'une de ces 2 requêtes génère une erreur MySQL, trouvez laquelle.

Ha tu préfères te couvrir si tu n'as pas conçu ton application quand la requête te retourne un résultat null ?
Ou alors tu utilises zéro comme identifiant dans tes DBs ?

Si tu attends un numérique, tu fais un intval ou une condition is_numeric, je vois pas pourquoi tu irais te faire chier à demander un échappement de chaine MySQL qui fait intervenir MySQL pour retourner un numérique.  
C'est étrange cette façon de se dire "Si l'utilisateur rentre un mauvais paramètre, je préfère faire planter MySQL, j'utilise le plantage mysql comme test de variable."
Tu es du genre à, si quelqu'un doit donner un nombre entre 0 et 999, faire un if strlen($data)>3 erreur?
Non, moi je fais un $data>999 erreur.  

non

Vous sortez d'où? Requête préparées plus filtage sur le type attendu et le risque frôle le 0 de laisser passer un truc qu'on voudrait pas (et là sans le code en question et en poussant sur les largesses tu typage php...

Mais justement, si la requête est mal foutue, il vaut mieux faire un intval, ça set la variable à zéro et basta.
Là on parle de données utilisateur, si l'utilisateur rentre 'papa' dans sa date de naissance, vaut mieux lui setter son jour de naissance à zéro que de faire planter MySQL.
L'incidence reste à son niveau, celui de l'user qui rentre n'importe quoi, ça ne remet pas en cause l'intégrité de la DB et il n'y a aucun risque de la "flinguer".
Je ne trouve pas que ce soit une bonne logique de se dire "Si l'utilisateur rentre n'importe quoi, spa grave, on compte sur le fait que MySQL pourrait planter pour éviter une erreur".
 

heu, c pas possible de valider les données en PHP et de jeter le user proprement ?

 
Pourquoi ?

Parce que ça marche pas, point barre

 
Ptain, mais c'est relou.
C'était bien pratique ça....
 
Donc le mieux serait de faire ça :
 
foreach($_POST as $key => $value)
$$key = mysql_real_escape_string(trim($value));
 
?

Non, le mieux c'est de faire $toto= mysql_real_escape_string($_POST['toto']);
Je vois pas ce qui te dérange. Fais un copier/coller si c'est trop long à taper.

Non, le mieux c'est d'utiliser http://fr.php.net/pdo avec PDO->prepare() et PDOStatement->bindParam(), ou bien les fonctionalités équivalentes dans mysqli si tu utilises mysql.

y a des prepared statements avec mysqli_ hein

tu réponds à qui là?

Encore faut-il que ça soit dispo sur son PHP.

Le mieux pour que ce soit sécurisé en un minimum de temps

Mais je comprend pas pourquoi on peut pas utiliser de fonctions sur des supers globals

a celui qui n a pas édité son message

Parce qu'elle prend en paramètre une chaine de caractère et pas un tableau ?

Il a demandé ce qui était le mieux, moi je lui dis

Chais pas, ptet parce que mysql_real_escape_string travaille sur des string et que $_POST n'est aux dernières nouvelles pas vraiment une chaîne de caractères

Enfin c'est juste une idée comme ça, si ça se trouve ça a aucun rapport

Ouais enfin personne avait parlé de mysqli dans le topic, donc j'vois pas le rapport

 
c etait juste pour lui eviter d installer un truc inutile alors qu il a probablement un outil deja dispo
et dans l affaire tu as aussi trouvé utile d en parler donc je vois pas ton probleme