Witam,
Napisałem obsługę edycji filmów w danych i starałem się go zabezpieczyć przed sql injection, jednak nie wiem czy mi się udało.
Na tą stronę można się dostać tylko poprzez zalogowanie, więc mój atak sprawdzający skuteczność polegał na zaznaczeniu zamiast danych edytowanego filmu to danych użytkownika.
Skrypt wygląda następująco:
Plik add.php:

[PHP] pobierz, plaintext 
 if (isset($_GET[edytuj])) {
 header("Location: edit.php?edytuj=$_GET[edytuj]");
 exit();
 }
 
[PHP] pobierz, plaintext 

[HTML] pobierz, plaintext 
<td valign="top" class="trescc">
<a href="add.php?usun='.$dane[id_filmu].'"><img src="graf/usun.png" alt="Usuń" style="border: 0px;" title="Usuń"></a>
</td>
[HTML] pobierz, plaintext 

Plik edit.php:

[PHP] pobierz, plaintext 
<?php
require('conn.php');
$edytuj=mysql_real_escape_string(trim($_GET[edytuj]));
$mysql=mysql_query("SELECT * FROM filmy WHERE id_filmu='$edytuj'") or die (mysql_error());
$ile=mysql_num_rows($mysql);
if($ile != 1){
  header("Location: add.php");
  exit();
}
require_once('funkcje.php');
naglowek('Edytuj');
while($edit = mysql_fetch_assoc($mysql)) {
$wys_tytul=($edit[tytul]);
$wys_ilosc=($edit[ilosc]);
$wys_pochodzenie=($edit[pochodzenie]);
$wys_typ=($edit[typ]);
$wys_rodzaj=($edit[rodzaj]);
}
?>
[PHP] pobierz, plaintext 

Próbowałem wpisać adres tak:

Lecz na szczęście z niepowodzeniem ;p
Dodam, że id jest dobre, id=1 to akurat admin
Jeżeli, ktoś się na tym zna lepiej, niech napisze odpowiednio sprzeparowanego linka, ażeby wyświetlić dane użytkownika admin wpolu z filmem.
A no i jeszcze wyświetlane dane:

[HTML] pobierz, plaintext 
<tr class="hov">
 <td valign="top" class="trescc" align="right">1&nbsp;</td>
 <td valign="top" class="trescc">
 <?php echo $wys_tytul; ?>
 </td>
 <td valign="top" class="trescc">
 <?php echo $wys_ilosc; ?>
 </td>
<td valign="top" class="trescc">
 <?php echo $wys_pochodzenie; ?>
</td>
 <td valign="top" class="trescc">
 <?php echo $wys_typ; ?>
 </td>
 <td valign="top" class="trescc">
 <?php echo $wys_rodzaj; ?>
</td>
</tr>
[HTML] pobierz, plaintext 

Poproszę jakiegoś eksperta o potwierdzenie bezpieczeństwa skryptu bądź podanie linka do wyświetlenia danych użytkownika w miejscu wyświetlania filmu.
Z góry dziękuję.

Temat: SQL Injection Insertion

Naprawdę ciężko?