Дыра в коде?

[kostya247]

Пожалуйста помогите разобраться где может быть дыра и как можно защитить код.
Сегодня на сайте у нескольких тысяч пользователей изменились пароли на один общий для всех.
Возможно ли это при таком построении кода и как этого избежать?

[Alex11223]

WHERE email='$email'

https://www.google.com/search?q=sql+injection

[kostya247]

В логах сервера множество подобных записей.
Расшифруйте пожалуйста новичку что они значат.

[kostya247]

Сообщение от Alex11223

https://www.google.com/search?q=sql+injection

Вы про запись в базу или про выбор email в базе?

[Alex11223]

Какая разница?

Изучайте результаты гугла по ссылке выше и содержимое этого комикса до просветления.

[come-on]

Расшифруйте пожалуйста новичку что они значат.

это налядное пособие для хацкеров, как положить легенько супер сайт.
вам еще позло

[kostya247]

А если не фильтровать данные, а использовать протокол https это поможет?
Или обработка и фильтрация входящих данных это панацея от SQL инекций?

[Alex11223]

https вообще не о том. Он может защитить например от перехвата данных отправленных пользователем (сильно актуально при использовании открытой wi-fi точки, или для защиты от недобросовестных промежуточных узлов типа прокси сервера, провайдера). Ну то есть трафик от пользователя к серверу идет зашифрованным. Но это никак не относится к данной проблеме, и проблема никак не относится к передаче данных по сети, разберитесь нормально в чем она состоит.

[kostya247]

Я понял что нужно фильтровать входящие данные в поле email.
Вопрос в том, как лучше это сделать.
Мне пока на ум приходит только
mb_eregi("^[a-z0-9\._-]+@[a-z0-9\._-]+\.[a-z]{2,4}\$", $email)
или лучше использовать mysql_real_escape_string() ?

[Alex11223]

Лучше PDO с prepared запросами.
https://en.wikipedia.org/wiki/Prepar...tement#PHP_PDO

Ну или второе.

Естественно это надо делать для всех полученных параметров, а не только для емаила.