SQL Injection #part02 #skysen #coding #pemograman #php #sql #injection

Ini adalah teknik hacking yang paling sering dibicarakan. SQL Injection. Celah ini bisa terjadi apabila programmer menggunakan sesuatu yang bisa diubah oleh user, untuk membuat perintah query. Sebagai contoh disini pada URL ada id=1. Angka 1 ini digunakan untuk membangun query di bagian akhir yaitu WHERE id=1.

Pertama usernya akan mencoba dahulu mengubah kalau 1 menjadi 2, kira-kira apa yang terjadi. Perhatikan awalnya tampil data pertama yaitu Budi. Setelah diubah berubah menjadi data kedua yaitu Andi.

Selanjutnya user akan mencoba lagi misalkan url diubah menjadi 2' or 1='1. Dan sebagai hasilnya terjadilah SQL Injection. Perintah Query berubah, sudah tidak seperti rancangan awal programmer lagi. Karena pada WHERE terjadi 2 buah kondisi id = '2' or 1='1'. Dan sebagai hasilnya, perhatikan bahwa semua data terpilih untuk tampil ke layar.

Salah satu solusi untuk menutup celah ini adalah semua input yang kita dapatkan dari user harus di-sanitize terlebih dahulu, setelah itu baru digunakan untuk membuat perintah query. Contohnya id disini kita sanitize menggunakan real_escape_string. Maka celah ini sudah tidak bisa menampilkan semua data.

[rafikaauda]

Bisa juga menggunakan array filter ya pak untuk mencegahnya ya pak ?

[farisfaisyal]

new mysqli itu, objek yang sudah ada di php kah?

[blitzmui]

Minimal harus taulah password mysqlnya