el ID es autoincrement y no entiendo en donde pueden meter la Inyeccíon SQL


si no tiene acceso masque al LOGIN!!!!

y el login no necesita Base de datos


entonces????


me podrian indicar donde???

gracias

jajajaj mano em tienes como loko intentanto hacer eso y no funcionaba xD xD


pero haber no entendi eso que me dijeron de la SPAMEADA


como filtro los POST o como hicieron para hacer el post si el que hace el POST está protejido bajo $_SESSION ??

Yo uso sleep(), para dormirlo un segundo, evitando asi un colapso probocado por bots, etc...
Usar captcha es una buenisima medida.
Lo otro, es que a parte de filtrar las variables, es bueno que el usuario que se conecta y lee los datos de la base de dato tenga permisos para lo que va a hacer y nada mas. Por ejemplo, si solo lee la base y los pasa a tu web, entonces quitale los permisos de borrar, escribir, etc etc... Esa practica no es muy usada pero muy eficiente.

las sesiones se pueden manipular también desde el usuario y tal...

no hace falta ni logearse para hacerte una inyección ya que solo compruebas si existe la sesión, no si la sesión es correcta y contiene datos verdaderos

yo podría entrar simplemente editando una sessión que pusiese algo diferente de vacio como usuario.

eso es lo primero que he visto al ojear las primeras líneas de tu código... voy a mirar un poco más y te sigo diciendo xD


En serio te funciona esto¿?

estas metiendo datos de texto sin meter comillas, ¿se las añade la función no, y supongo que también comprobará que no te meten lameradas xD?

$insertSQL = sprintf("INSERT INTO noticias (Titulo, Texto1, Imagen) VALUES (%s, %s, %s)",
                       GetSQLValueString($_POST['Titulo'], "text"),
                       GetSQLValueString($_POST['Texto1'], "text"),



si el id es autoincremental y usas mysql...(si se supone que es clave primaria, cosa que me temo que no) no dejaría enviar 500 en un segundo, al no ser clave primaria, envia los 500 inserts a la vez y al colapsarse la base de datos no aumenta el autoincremental (por el commit y tal xD)

lo que utilizarón es un script que lanza simultáneamente esas 500 peticiones sin más, pon como clave primaria al identificador de la noticia y añade un contador que no permita enviar noticias hasta pasado 1 minuto después de su última (vía mysql o po sesion) y la otra opción es utilizar captcha

Ojo: Mala politica de seguridad. Asi piensan todos los que hacen sistemas vulnerables. Piensa como hacker, estas facilitando las cosas para hacer inyecciones, independientemente de si hay que ser admin o no.