[Megoldva] MySQL syntax error SELECT-nél

echo $sql; esetleg oszt akkor latnad is a kverid...

felh_nev=\'$nev\' helyett felh_nev='$nev'
de tényleg echo $sql;

Én a resultot is tudom. $nev.

SOHA SOHA SOHA nem csinálunk olyat, hogy kívülről jövő adatot beleteszünk egy query stringjébe! Hiába mondod te most azt, h 100%, hogy nincs benne XSS, egy hét múlva már meg is feledkezel erről az előfeltételről, és máris ott a baj.

$sql = "select felh_nev from felhasznalok where felh_nev='".mysql_real_escape_string($nev)."'";

És ezt echozd ki, fényt derít az esetleges rejtett unicode karakterekre is.

--
The Net is indeed vast and infinite...
http://gablog.eu

(hülyeség, töröltem...)

--
"SzAM-7 -es, tudjátok amivel a Mirage-okat szokták lelőni" - Robi.

Hiba uzenetben miert van username amikor keresben nem latok ilyet ?

Mellesleg felh_nev -et lehet `` jelek koze tolni.

Lehet hogy hülyeség, de én is szívtam már ilyesmivel, én az SQL "utasításokat" nagybetűvel írnám, illetve az SQL kérést ;-vel zárnám, egy próbát megér szerintem:

$sql = "SELECT felh_nev FROM felhasznalok WHERE felh_nev = '" . mysql_real_escape_string($nev) . "';";

Oké.

Kezdjük elölről.
Ez lefut PHP-ből hívva?
SELECT felh_nev FROM felhasznalok WHERE 1=1 LIMIT 1

Aztán ez?

SELECT felh_nev FROM felhasznalok WHERE felh_nev = felh_nev

SELECT felh_nev FROM felhasznalok WHERE felh_nev LIKE "blabla"

Ezt mindet szimpla idézőjelbe tedd.
Változót meg így adj át majd bele:
$sql = 'SELECT x FROM tbl WHERE z = ' . $sanitized_int . ' AND str = "' . $sanitized_str . '"'; (ez itt a végén szimpla-dupla-szimpla kombó)

--
"SzAM-7 -es, tudjátok amivel a Mirage-okat szokták lelőni" - Robi.

Ezt utanam tudod csinalni ?

(mysql -u user_nevem -p)

use test;
create table felhasznalok (felh_nev varchar(20));

sql.php

<?php
        $ossz=mysql_connect("localhost", "user_nevem", "password") or die(mysql_error());
        echo "Connected to MySQL<br />";
        mysql_select_db("test") or die(mysql_error());
        $nev="username";
        $sql = "select felh_nev from felhasznalok where felh_nev='$nev'";
        echo "<br />".$sql."<br />";
        $eredmeny = mysql_query($sql, $ossz) or die (mysql_error());
        echo "OK";
?>

Eredmeny:

Connected to MySQL

select felh_nev from felhasznalok where felh_nev='username'
OK

Talan:

$sql = "select felh_nev from felhasznalok where felh_nev='{$nev}'";

a $nev nem tartalmaz ) vagy " vagy ' jelet?
vagy így:
$sql = "select felh_nev from felhasznalok where felh_nev='$nev';";

mivel az sql-t ; zárjuk majd a php sort is.
" előtt a ; a sql-t utánna a php sort zárja

pch

egyertelmuen layer 8 hiba.

t

Oke.

Kezdj egy teljesen uj file-t.
Ebbe a teljesen uj file-ba illeszd be ezt a kodot:

<?php

# Ezeked modositsd szukseg szerint

$server = YOUR_SERVER;
$user = 'Lacus';
$pass = 'VeryS3cretPass';

# Ezekhez ne nyulj!!!
$dbase = 'mysql';

$conn = mysql_connect($server, $user, $pass);
if(!$conn) {
  die('MySQL conn err... ' . mysql_error());
}

mysql_select_db($dbase, $conn);
$ered = mysql_query("SELECT user, host FROM user WHERE user = '" . $user ."' LIMIT 1", $conn);

$sor = mysql_fetch_assoc($ered);
?>
Kedves <?php echo $user ?>, neked a belepes csak a <?php $sor['host'] ?>-rol engedelyezett.
<?php
mysql_free_result($ered);
mysql_close($conn);
?>

Erdekel a vege.

Tudom, hogy nem security vedett a kod, de jelenleg nem ez a legfobb problemank.
--

()=() Ki oda vagyik,
('Y') hol szall a galamb
C . C elszalasztja a
()_() kincset itt alant.

egy mysql_escape_string() függvényt is engedj rá a $query -re mert ha így alkalmazod nem véfi ki az aposztrófok jelenlétéből létrejöhető hibákat.

-- "Bízzál Istenben és tartsd szárazon a puskaport!" - Cromwell --
-- Sayusi Ando - http://sayusi.hu --