É…
Injeção SQL é um caso sério.
Uso uma função aqui há tempos já para proteção, mas vou dar uma conferida nessa!

Ótimo post, vlw!!

[]‘s

É uma pena que esse arquivo não esteja mais disponivel para download. Será que tem como postar novamente?? Agradeço.

Eu fiz download do arquivo. Agora gostaria de saber como colocar na prática? e que sou inciante em programação para web, e meu site ja foi invadido por sql injection.

trabalho na area técnica de projeto.
alguém usa o qcad ?
eu o utilizo a um bom tempo no linux
gostaria de trocar impressões.
ok.

rodrigo to usando seu cod anti injection e to recebendo o erro Fatal error: Call to undefined function anti_sql() in C:wampwwwsitioadmverifica.php on line 51

<?
function anti_sql($texto){
// Lista de palavras para procurar
$check[1] = chr(34); // símbolo "
$check[2] = chr(39); // símbolo '
$check[3] = chr(92); // símbolo /
$check[4] = chr(96); // símbolo `
$check[5] = "drop table";
$check[6] = "update";
$check[7] = "alter table";
$check[8] = "drop database";
$check[9] = "drop";
$check[10] = "select";
$check[11] = "delete";
$check[12] = "insert";
$check[13] = "alter";
$check[14] = "destroy";
$check[15] = "table";
$check[16] = "database";
$check[17] = "union";
$check[18] = "TABLE_NAME";
$check[19] = "1=1";
$check[20] = 'or 1';
$check[21] = 'exec';
$check[22] = 'INFORMATION_SCHEMA';
$check[23] = 'like';
$check[24] = 'COLUMNS';
$check[25] = 'into';
$check[26] = 'VALUES';

// Cria se as variáveis $y e $x para controle no WHILE que fará a busca e substituição
$y = 1;
$x = sizeof($check);
// Faz-se o WHILE, procurando alguma das palavras especificadas acima, caso encontre alguma delas, este script substituirá por um espaço em branco " ".
while($y

<?php

$apelido = anti_sql($_POST["apelido"]);
$senha = anti_sql($_POST["senha"]);

$selecao = mysql_query("SELECT * FROM admin WHERE apelido = '$apelido' AND senha = '$senha' ") or die (mysql_error());

$row = mysql_fetch_array($selecao);

if ($row == "")
{
echo "apelido e/ou senha inválidos.”;
echo “”;
echo “Voltar”;
exit;
}
else
{
session_start();

$_SESSION["apelido"] = $apelido;

header (“location:index.php”);
}

mysql_close($conexao);
?>

Só pra acrescentar aqui.
Vocês não precisam chamar esta função cada vez que há um input. Isso dá um trabalho do cão.

Utilize um require_once() para incluir a função em todas as páginas do site.

Em seguida, basta limpar todo input usando:

$_POST = anti_injection($_POST);
$_REQUEST = anti_injection($_REQUEST);
$_COOKIE = anti_injection($_COOKIE);
$_SESSION = anti_injection($_SESSION);

Muito mais simples né?
Outra coisa interessante é o uso do PDO para manipular a base de dados.

Espero ter contribuído.

Olá, galera !

Estou com problemas de sql injection e não estou conseguindo resolver, gostaria de contar com ajuda de vocês !

Por favor, acessem estes dois links e vejam onde aplicar a vacina contra o sql injection.

http://www.sindsasc.org/protecao/conexao.txt
http://www.sindsasc.org/protecao/exibe_agenda.txt

Muito grato !!!