MySQL Injection을 예방하기 위해 $bo_table을 사용하세요~ > 팁 & 테크

앞선 글에 덧붙여 MySQL Query문을 조금만 변경하면 더 완벽할 것 같습니다. ^ ^;;

MySQL Injection을 예방하기 위해 /common.php에서 Query String으로 입력된 $bo_table 값을 trim을 이용하여 Strip하고 정상적인 알파벳, 숫자 및 Underscore(_)를 제외한 나머지 모든 문자열을 치환한 $bo_table을 사용하는 것으로 바꿀 것을 강력히 권장합니다. 그누보드에서 이미 잘 만들어 둔 구조를 무너뜨릴 뻔 하였습니다.

$bo_table = preg_replace('/[^a-z0-9_]/i', '', trim($_REQUEST['bo_table']));

FROM:
    WHERE bid.bo_table = '".$_REQUEST['bo_table']."';";

TO: 
    WHERE bid.bo_table = '".$bo_table."';";

반드시 꼭 변경하시기 바랍니다. {이모티콘:rabbit_38}