Discussion :

[Mortillus]

Bonjour,
Je voudrais tester une variable login si elle ne contient pas de caracteres

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

$caracteres=array("#",";","//","/","%","*","drop","Drop","DROP","select","Select","SELECT","Insert","INSERT","UPDATE","Update","upadate","FROM","from","From","insert","Insert","INSERT","INTO","Into","into");

Mais je ne sais si je dois la tester avec
strpos
ereg
ergi
Je voudrais juste savoir si elle le contient ou pas ???

[Celira]

Les fonctions ereg sont dépréciées depuis PHP 5.3, il vaut mieux donc les éviter.
strpos est une bonne idée, mais tu devrais tester tous tes mots un par un, donc faire une boucle.
Si tu veux tester tous les termes d'un coup, je peux te proposer un truc avec preg_match :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
$caracteres=array("#",";","//","/","%","*","drop","Drop","DROP","select","Select","SELECT","Insert","INSERT","UPDATE","Update","upadate","FROM","from","From","insert","Insert","INSERT","INTO","Into","into");
 
$pattern = '@'.implode('|', $caracteres).'@'; //le @ sert de délimiteur, ne doit pas faire partie des mots à filtrer
if (preg_match($pattern, $chaine_a_tester))
{
echo 'mot trouvé !!!!!';
}

[julp]

Sauf que ça ne fonctionnera pas (erreurs) dans certains cas comme avec * qui est un métacaractère. Une adaptation de la ligne implode qui devrait lever tout problème avec les métacaractères ou séparateur(s) :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
$pattern = '.' . implode('|', array_map('preg_quote', $caracteres)) . '.';
# Si insensibilité à la casse désirée, utiliser plutôt ceci :
#$pattern = '.' . implode('|', array_map('preg_quote', $caracteres)) . '.i';

Sinon stripos avec une boucle. (qui évite, au passage, d'avoir à gérer la casse)

[Mortillus]

J'ai fait un peu différemment mais je ne sais pas le quel est le plus précie

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
function strposa($haystack ,$needles=array(),$offset=0){
    $chr = array();
    foreach($needles as $needle){
        if (strpos($haystack,$needle,$offset) !== false) {
          $chr[] = strpos($haystack,$needle,$offset);
       }
    }
    if(empty($chr)) return false;
    return min($chr);
}
 
 
 
 
		$login = $_POST['login'];
		$password = $_POST['password'];
	$caracteres=array("#",";","//","/","%","*","drop","Drop","DROP","select","Select","SELECT","Insert","INSERT","UPDATE","Update","upadate","FROM","from","From","insert","Insert","INSERT","INTO","Into","into","'");
 
 
	if (strposa($login,$caracteres) !== false or strposa($password,$caracteres) !== false) 
	{	    
	$domaine = gethostbyaddr($_SERVER['REMOTE_ADDR']);
	if ( isset($_SERVER['HTTP_X_FORWARDED_FOR']) ){$ip = $_SERVER['HTTP_X_FORWARDED_FOR'];}
	else {$ip = $_SERVER['REMOTE_ADDR'];}
	$date = date('Y/m/d H:i');	
	$ua = $_SERVER['HTTP_USER_AGENT'];
	$sql = "INSERT into ip_bl (ua, ip, domaine, date, cpt, cpt_401) values ('$ua', '$ip', '$domaine', '$date', '$idcommrefins', '$idcommrefins')";
	$req = mysql_query($sql) or die('Erreur SQL !<br>'.$sql.'<br>'.mysql_error());    
	}

Je bannie directement pour éviter une injection sql
Connection réserver pour une entreprise

[julp]

Si le but est d'éviter les injections, ceci ne sert strictement à rien et il existe des fonctions spécialisées ...

Sinon votre fonction paraît inutilement complexe (pas besoin de recoder strpos) :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
function contains($haystack, array $needles) {
    foreach ($needles as $needle) {
        if (stripos($haystack, $needle) !== FALSE) {
            return TRUE;
        }
    }
    return FALSE;
}
 
if (contains($login, $caracteres) || contains($password, $caracteres)) {
    // $login ou $password contient des chaînes interdites
} else {
    // ok
}

[Mortillus]

Pour bannir tout ce qui essaye des injections de flash quel fonction utiliser ???