Injection SQL, mysql_real_escape et user Nobody [Résolu]

[Archeus]

Bonjour à tous,

J'ai programmé un petit script qui permet à un utilisateur de mon site ayant perdu son mot de passe de connection de pouvoir le récupérer en tapant simplement son adresse email.

Le script vérifie d'abord que le cryptogramme visuel correspond (pour éviter le brute force ou les bots), puis que le email entré figure bien dans la base de données, et seulement ensuite il envoit le mot de passe par email.

Il y a 2 pages : le formulaire d'un coté, et la page contenant le script de l'autre.

Voici le début du script de traitement.

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<?php
include "crypt/functions.php";
 
//Vérification de la validation du formulaire + remplissage du champs email
 
// Si le code généré est le même que celui qu'on a donné...
if (chk_crypt($_POST['code']))
{
 
if (isset($_POST['email']) && !empty($_POST['email'])) 
{
//Conditions remplies, connexion à la BDD
$mail=($_POST['email']);
mysql_connect("localhost", "XXXXX", "XXXXX"); // Connexion à MySQL
mysql_select_db("XXXXXX"); // Sélection de la base 
 
// Requête sur la BDD = table membre
$requete_membres = "SELECT ID, prenom, nom, email FROM tablemembre WHERE email='$mail'";
$membres = mysql_query($requete_membres) or exit(mysql_error());
$nb = mysql_num_rows($membres);

On m'a rapidement conseillé d'utiliser :

Code :

$mail=mysql_real_escape_string($_POST['email']);

Plutot que

Code :

$mail=($_POST['email']);

Ce pour éviter les injections SQL douteuses

Mon script avec $mail=($_POST['email']); marche parfaitement. Des que j'utilise l'instruction mysql_real_escape_string j'ai droit à l'erreur suivante :

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
Warning: mysql_real_escape_string() [FUNCTION.mysql-real-escape-string]: Access denied FOR user 'nobody'@'localhost' (USING password: NO) IN /home/XXXXX/public_html/connexion.php ON line 13
 
Warning: mysql_real_escape_string() [FUNCTION.mysql-real-escape-string]: A link TO the server could NOT be established IN /home/XXXXX/public_html/connexion.php ON line 13
 
Warning: mysql_connect() [FUNCTION.mysql-connect]: Access denied FOR user 'root'@'localhost' (USING password: NO) IN /home/XXXXX/public_html/connexion.php ON line 14
 
Warning: mysql_select_db() [FUNCTION.mysql-select-db]: Access denied FOR user 'nobody'@'localhost' (USING password: NO) IN /home/XXXXX/public_html/connexion.php ON line 15
 
Warning: mysql_select_db() [FUNCTION.mysql-select-db]: A link TO the server could NOT be established IN /home/XXXXX/public_html/connexion.php ON line 15
 
Warning: mysql_query() [FUNCTION.mysql-query]: Access denied FOR user 'nobody'@'localhost' (USING password: NO) IN /home/XXXXX/public_html/connexion.php ON line 20
 
Warning: mysql_query() [FUNCTION.mysql-query]: A link TO the server could NOT be established IN /home/XXXXX/public_html/connexion.php ON line 20
Access denied FOR user 'nobody'@'localhost' (USING password: NO)

Quelqu'un a t il une idée du problème ? Est ce que je fais une mauvaise utilisation de l'instruction mysql_real_escape ?

Est il possible de donner des droits à l'user nobody ?

J'avoue être un peu perdu sur le coup.

Cordialement,
Philippe

[Fladnag]

essaye de deplacer le mysql_connect et mysql_select_db AVANT le mysql_real_escape_string

[Archeus]

Bonjour,

Merci pour votre réponse.

J'ai testé la manipulation que vous m'avez conseillée, sans succès. Les erreurs sont toujours les mêmes.

Cordialement,
Philippe

[vg33]

Contrairement à mysql_escape_string(), mysql_real_escape_string() demande une connexion ouverte à la bdd pour s'exécuter. Il faut donc la placer en effet après la connexion.
Les messages que tu reçois indiquent que cette connexion n'a pas pu se réaliser. Revois donc les paramètres de connexion à ta bdd.

[Archeus]

Merci à vous deux pour votre aide.

La solution qui m'a été donnée par Fladnag était la bonne, je n'avais pas fait attention à une bête faute de frappe dans un des paramètres de connection.

Honte à moi )

Bonne soirée à tous.

Philippe

[vg33]

Envoyé par Archeus

La solution qui m'a été donnée par Fladnag était la bonne, je n'avais pas fait attention à une bête faute de frappe dans un des paramètres de connection.

Loin de moi l'idée de ramener la couverture à moi, mais c'est moi qui t'ai demandé de revoir tes infos de connexion :

Envoyé par vg33

Revois donc les paramètres de connexion à ta bdd.

[Archeus]

Re Vg33,

Effectivement ma tournure de phrase est maladroite )

Le code contenait 2 erreurs et vous en avez chacun trouvé une

Merci à vous 2 donc !

Je passe le sujet en "résolu".