Форум MySQL

Здравствуйте! У меня такая проблема: кто-то защел на сайт и в рубрике объявлений разместил свое объявления, где вместо текста были написаны соответствующие названия полей в БД сайта, Вопрос как он смог узнать?, второе у меня на каждой странице стоит счетчик, в том числе и на странице ввода информации, так вот, когда я вошел на страницу статистики bigmir.net Там осутствовала информация про то, что кто-то заходил на страницу ввода информации.Как тут защититься?

Может быть была SQL инъекция.

Без аудита кода сложно что-то сказать...

<?php
// create short variable names
$name=$_POST['name'];
$param=$_POST['param'];
$tel=$_POST['tel'];
$rub=$_POST['rub'];




if ( !$rub || !$name || !$tel )
{
echo '&#194;&#232; &#237;&#229; &#226;&#229;&#235;&#232; &#179;&#237;&#244;&#238;&#240;&#236;&#224;&#246;&#179;&#254;.<br />'
.'&#209;&#239;&#240;&#238;&#225;&#243;&#233;&#242;&#229; &#249;&#229; &#240;&#224;&#231;.';
exit;
}

$name = addslashes($name);
$param = addslashes($param);
$fel = addslashes($fel);
$name = mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['name']))));
$param = mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['param']))));
$tel= mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['tel']))));

@ $db = mysql_pconnect('host', 'login', 'parol');

if (!$db)
{
echo 'Error: Could not connect to database. Please try again later.';
exit;
}

mysql_select_db('base);
$query="DELETE FROM table WHERE datum<NOW() - INTERVAL 28 DAY";
$result = mysql_query($query);
$query="SELECT COUNT(*) FROM bable WHERE tel = '".$_POST['fel']."' AND rub = '".$_POST['rub']."'";
$result = mysql_query($query);
$total = mysql_result($result,0);
if ($total)

{
echo '&#194;&#232;&#225;&#224;&#247;&#242;&#229;! &#192;&#235;&#229; &#243; &#194;&#224;&#241; &#226;&#230;&#229; &#186; &#238;&#227;&#238;&#235;&#238;&#248;&#229;&#237;&#237;&#255; &#243; &#228;&#224;&#237;&#179;&#233; &#240;&#243;&#225;&#240;&#232;&#246;&#179;! . ';
exit;
}

$query = "insert into table ( name,param,tel,datum, rub ) values
('".$name."', '".$param."', '".$tel."',NOW(), '".$rub."' )";

$result = mysql_query($query);
if ($result)
echo mysql_affected_rows().' &#228;&#224;&#237;&#179; &#226;&#237;&#229;&#241;&#229;&#237;&#179; &#226; &#225;&#224;&#231;&#243;.';
else echo mysql_error();
?>

Конструкцию

<?php $name = addslashes($name); $param = addslashes($param); $fel = addslashes($fel); $name = mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['name'])))); $param = mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['param'])))); $tel= mysql_escape_string (htmlspecialchars (stripslashes (trim ($_POST['tel'])))); ?>

Замените на

<?php   if (!get_magic_quotes_gpc())   {     $name = mysql_escape_string($_POST['name']);     $param =  mysql_escape_string($_POST['param']);     $tel =  mysql_escape_string($_POST['tel']);   } ?>

$_POST['fel'] и $_POST['rub'] - это целые числа? Тогда добавьте ещё проверку

<?   if(!preg_match("|^[\d]+$|",$_POST['fel'])) exit("Не верный формат запроса");   if(!preg_match("|^[\d]+$|",$_POST['rub'])) exit("Не верный формат запроса"); ?>

Понял, выполняю, вопрос: при выводе эти переменные тоже нужно как-то защитить?

WHERE  rub = '".(int)$_GET['rub']."'

Спасибо за помощь!

При выводе ничего в приципе можно не делать, лишь пропустить их через htmlspecialchars(), если переменные вводили пользователи, если они автоматически сгенерированы или набраны администратором, можно обойтись и без htmlspecialchars().

Понял! Спасибо!