الحماية من ثغرات sql injection وبدون ازالة اي شيء

السلام عليكم ورحمة الله وبركاته
كنت من فترة اود طرح طريقة جديدة وما اعتقد ان استخدمها احد من قبل وهي طريقة احترافية تسمح لك بحماية نفسك من ثغرات sql injection بالراحة وبدون التخلص من الرموز او اي شيء
لو فكرنا قليلا ما هي الطريقة التي استطيع فعل هذا بها؟؟؟؟!!!!!!!
بعضكم سيحسب في اول الموضوع ان لا وجود للطريقة والا لماذا اخترعت php خمسة دوال للحماية
الطريقة بسيطة وهي ان تدخل اي شيء الى القاعدة ولكن بطريقة مختلفة؟؟؟!!!!!!
اكيد الموضوع لسة غامض ليش الحرامي يدخل البيت ومغطي وجهه؟؟؟
اكيد عشان ما حد يتعرف عليه
نحنا منقلده>>>منسرق بيت
الطريقة انو انكر الاكواد الداخلة للقاعدة ولما تطلع اشيل زي التنكر عبر
التشفير
والفكرة بسيطة طبعا احنا لن نستخدم تشفير md5 لانه ما ينفك
حنستخدم
base64
الدالة هذه للتشفير تدخلها الكلام الي بتشفره

رمز PHP:

function dadooe($sec){  
$sec = base64_encode($sec);
return $sec;
} 


وهذه لفك الشفرة وتدخلها الكلام الي بتفك تشفيره

رمز PHP:

function dadood($sec){  
$sec = base64_decode($sec);
return $sec;

} 

اظن الدوال واضحين والشرح اوضح بس تحط الدالة والكلام الي بتشفره او بتفك تشفيره وهو بيرجعلك القيمة

ارجو الاستفادة من الموضوع وعدم استخدامه في اي ضرر على المسلمين

ملاحظة:هذا الموضوع اول مرة يطرح فارجو ممن يريد نقله ذكر اسمي
بهاء الدين لؤي دعدوع

و عليكم السلام و رحمة الله و بركاته
اما بعد

فكرتك غير عملية بالمرة و لا تنفع لكل الاحوال - و احدى هذه الحالات مثلا تسجيل الدخول في سكريبت ما بشكل افتراضي يكون هكذا:

و لنفرض اسم المستخدم و كلمة مرورره هي admin
و بعد تمريرها على دالة التشفير راح يطلع لنا الكود التالي : الان لو مررنا الناتج للاستعلام لن يتعرف على العضوية :
و لو اعدنا فك الكون يعني ارجعناه مثل ما كان قبل الاستعلام ما استفدنا شيئ لانه ببساطة يمكن تمرير اكواد خبيثة قبل التشفير و يرجع مفعولها بعد الفك

عالم الحماية أكبر مما تعتقد اخي الفاضل ليس بتلك البساطة التي تعتقدها

ممكن تعيد التفكير !
الفكرة ما راح أنفذ أي استعلام من القاعدة إلا بعد التشفير


بعد الفك راح تكون طباعة بس ! ما راح تدخل القاعدة
ولو حتدخل القاعدة حشفرها تاني

تمام 100%
وطبعا هناك بعض الاكواد التانية مثل <script> و html هذه كلها تسويها بدالة htmlspecialchars
مشكور اخوي عالمرور

السلام عليكم ورحمه الله وبركاته


اولاً الدالة بطيئة وتستخدم لاغراض اخرى ومعرفة كتشفير فقرة او نص واعادته
ثانياً الدالة تأخذ المزيد من الداتا اقرأ المانيول about 33% more space than the original data.
ثالثاً تزيد من عملية الاستعلام والاستهلاق ولو كان النص 1000 حرف سيصبح عشر مليون حرف
رابعاً عن الاستخراج ستقوم بعملية استهلاكية عالية


اخي الكريم

الحماية لو بدالة كان الناس ماخترقت

اقوى البرمجيات نكتشف يومياً بها ثغرات

فماذا ستفعل دالة base64


وبنسبة لسبب انه لم يستعملها احد تجد الرد اعلاه

والدالة ستخرج المعاملات نفس ماهي يعني لو استخدمت xss يتخرج وتعمل لانه الدالة ضعيفة

ولو كانت دالة ذات اهمية لو جدت عمالقة المبرمجين كـ vivo و wp و vb و bb و خلافها يستخدمونها

صدقني لو وضعت موضوعك في موقع مبرمجين اجانب

سيغلقونه ويرسلونه للمهملات

اقرأ المانيول وستفهم قصدي

http://www.php.net/manual/en/function.base64-encode.php

سلام عليكم
اسمحلي الفكرة من الاساس ليست صحيحه

طيب بعيدا عن المناقشه
اليك مثال اخر

ولنفرض ان البرنامج به محرك بحث واكيد يوجد استعلام
ولنفرض مثلا انك تبحث عن كلمه أحمد
لكت بدلا من كتباتها أحمد كتبتها احمد

بدون الهمزه على الالف
اكيد في التشفير سيكون الناتج مغاير تماما لعملية البحث بغض النظر عن تعليمة sql المستخدمه في البحث

وبعيدا عن مخاطر sql
لنفرض ان الكود كان كود تحويل مثلا

يبقى ايه الفايده اني اشفره وادخله القاعدةوبعد خروجه افك التشفير ويشتغل الكود؟؟

عند طرح فكره لابد من التمعن فيها من جميع الجوانب قبل طرحها

اولا اخواني اسمحولي انا لم اقول انها تحمي من كل شي لو كانت تحمي من كل شيء ما كان في شركات حماية وسيرفرات وغيره وبرامج بالالفات
بس انا قلت انيها تحمي جزء وتغطي عليه بس ما قلت انها كل شيء

لو جربت تشفير اكثر من كلمة متشابهة او متقاربة ستجد التشفير متشابه 90%
واذا اردت جرب

أنا أتفق معك
وأتفق أيضاً مع الأخ كليبرز كما قلت أنها بطيئة في مشاركتي الأولى .

ولكن أردت التوضيح أنها آمنة من ناحية الحقن ولكن غير مجدية مثل المثال الذي ذكرت .

حتى من ناحية الحقن اذا كان خارجي

يستطيع الحقن

ويستطيع استغلال اي ثغرة عن طريق رجوعها


ولايوجد حل في العالم يقول ان base64 تستطيع الغاء الحقن

الدالة التي لها رجوع يستطيع المخترق تطبيقها

ولو كان ذات اتجاه واحد لن يستفيد المبرمج سوى حماية فاشلة


الحماية هي تكون عن طريق perl او استخدام preg او الاستبدالات المهمة للكلمات التي قد تكون مظرة

وتبديلها بشيء او تنظيفها

حبيب قلبي : كيف راح تسجل دخولك كمثالي السابق بدو ن اجراء استعلام ؟؟؟؟؟؟؟؟؟؟

السلام عليكم ورحمة الله وبركاته
لو تسمحلي بمداخلة بسيطة

انا ما بدي احبطك، بالعكس انا بدي اشجعك لانك بتفكر، ولست فقط بتقرا دروس وبتطبق بدون تفكير
وهذا شي حلو كثير

لكن نيجي نناقش الفكرة من نظرة علمية

اذا بدنا نيجي نتكلم عن الوقت، فهي بتبطئ الشغل وبشكل ملحوظ ان جاز التعبير وهذي نقطة عليها وليس لها
بالنسبة للمساحة، فهي بتزيد من استهلاك المساحات وهذي ايضا نقطة عليها وليست لها

بالاضافة لحالات الفشل اللي ممكن توقع فيها مثل الحالة اللي ذكرها الاخ Labiba
والاخ the traveller

وهذه كلها نقاط ضعف فيها

لذلك الفكرة غير عملية وما بتنجح
تأمين المدخلات مش شي صعب، لدرجة انه نشفر كل شي بناخذه منه عشان نأمن حالنا من شره


في النهاية، الله يعطيك العافية
انت اجتهدت وفكرت
وهذي طريق النجاح
وبارك الله فيك

اخوك مهند

بالبداية يا أخوة أنا محايد برأيي
أنا مع انه الدالة تسبب بطيء وهادا كلامي بأول مشاركة
مع ذلك هي آمنة من ناحية الحقن تماماً

بالنسبة للأخ LABIBA
عملية تسجيل عضو جديد
راح آخد بياناته وأشفرهم وأدخلهم بالقاعدة .
ولما يسجل دخول
راح آخد البيانات الجديدة وأشفرهم وأعمل الاستعلام .

كلامك غير صحيح ابدا يمكن تكون الدالة بطيئة وهذا شيء صحيح ولكن انت تتكلم كلام غير صحيح
وانا اختبرتها بنفسي ونجحت فاذا كانت الدالة بطيئة مو يعني انها كلها غلط واذا فيها بعض الاخطاء فهذه ايضا مو مشكلة بس الصح يصير خطأ انا اوافق الاخ كليبرز في انها تاخذ مساحة عالية ومجهود عالي ولكن هذه لسة كانت مجرد بداية الطريق