Codeigniter Admin Логин взломан, хотя я использовал все вопросы безопасности

Question

как получился код перед взломом с помощью SQL-инъекции: (

$query = $this->db->query("SELECT * FROM users WHERE username = ? AND password = ?", array(mysql_real_escape_string($this->input->post('username')), mysql_real_escape_string(MD5($this->input->post('password')))));  

ценить помогает !!

Answer 1

Вам не нужно использовать mysql_real_escape_string (), поскольку драйвер базы данных CodeIgniter сделает это за вас. Двойное экранирование строки может вызвать некоторые проблемы.

Answer 2

Используйте это для более безопасных запросов:

    $query_username = $this->db->query("SELECT COUNT(username) AS count_username FROM users WHERE username=?", $this->input->post('username'));
$row_username = $query_username->row_array();
if ($row_username['count_username'] > 0) {
  $query_password = $this->db->query("SELECT password FROM users WHERE username=?", $this->input->post('username'));
  $row_password = $query_password->row_array();
  if ($row_password['password'] == MD5($this->input->post('password')) {
    // LOGIN SUCCESS 
  } else {
    // LOGIN FAILED
  }
} else {
  // LOGIN FAILED
}