Azaz miért is nem szabad bízni a – szerencsére megszüntetett – mysql_real_escape_string() – függvényben: http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string. Avagy igenis fel kell hagyni a lustasággal és az öreg „mysql” modullal, használjunk mysqli prepared statement-eket vagy PDO-t (
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
!!!). Bővebb infók a védekezésről itt: http://stackoverflow.com/questions/5741187/sql-injection-that-gets-around-mysql-real-escape-string
Vagy csak injektáljunk PHP kódot egy JPEG fájl EXIF infójába: http://php.webtutor.pl/en/2011/05/13/php-code-injection-a-simple-virus-written-in-php-and-carried-in-a-jpeg-image/ . Mivel a PHP az EXIF -et csakis PECL bővítményen keresztül tudja kezelni (legjobb tudomásom szerint), ezért vizsgálata elég nehézkes, valamint a képmanipuláció sem tünteti el az EXIF -et. Szal’ a sima átméretezgetés nem segít. Én azt javaslom, hogy legyen egy feltöltés mappa, .htaccess -ben tiltsuk le az indexeket, és a scripteket. A fájlneveket pedig cseréljük valami sajátra és tegyük hozzá mi magunk a kiterjesztést.
Ja és egy kis PHP ester egg gyűjtemény. Írjuk az URL után a következők egyikét:
?=PHPE9568F34-D428-11d2-A769-00AA001ACF42 vagy
?=PHPE9568F35-D428-11d2-A769-00AA001ACF42 vagy
?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 vagy
… letiltása a php.ini -ben: expose_php = Off