Barrapunto

Son intentos hechos al tuntún, posiblemente buscando por fuerza bruta (esto, es, intentando todo contra todo) a ver si pilla algún hueco.

En este caso, no creo que haya penetrado en nada. Entonces, lo que hay que hacer es siempre, siempre, siempre, antes de construir una sentencia, pasar los datos introducidos por el usuario por mysql-real-escape-string (mysql-real-string es considerada obsoleta).

Y ojo con las comparaciones LIKE, que no son protegidas por mysql-real-escape-string, por lo que nada que tenga que ver con seguridad, autenticación o algo crucial debe usar ese comparador.

Más info:

http://es.php.net/manual/en/function.mysql-real-es cape-string.php [php.net]

Esto me ha hecho pensar... y a lo mejor podríais aclarármelo:

Si los colegas de Zend dicen, en la documentación que "Hay que usar siempre esta función antes de mandar una query a Mysql"... ¿Por qué no cogen, y modifican la función "mysql_query" para que, interna y transparentemente, haga esto?

Es que leer cómo escribías que "mysql_escape_string" no valía, que hay que usar "mysql_REAL_escape_string" me ha parecido casi un chiste, ñapa sobre ñapa...

¿Por qué no haces que tu función de lanzar queries sea segura, en vez de crear otra función, molestarte en escribir y mantener la documentación, decir que hay que usarla "siempre" y tal? métela por defecto, leches...