Benim şu şekilde kendi yazdığım, sitede ki bütün GET veri akışını süzen ufak bi kod var. Ne kadar güvenlik sağlar bilmiyorum. Yoruma açık.
foreach($_GET as $check => $value):
$_GET[$check] = htmlspecialchars(strip_tags(mysql_escape_string($value)));
endforeach;
foreach($_GET as $check => $value):
$_GET[$check] = htmlspecialchars(strip_tags(mysql_escape_string($value)));
endforeach;
Güzel filtre hocam, ancak eksik. Çünki htmlspecialchars ve strip_tags html tagleri ile ilgili filtreler. Sql injection tırnak veya sql komutları ile yapılan bir saldırı. Onları filtrelemeliyiz. Bunlar için mysql_real_escape_string kullanmışsınız ancan mysql_real_escape_string fonsiyonu bypass edilebiliyor. Aşağıdaki linkte bu fonksiyonun nasıl bypass edildiğini ve nasıl bypasstan korunulabileceğini anlatmıştım. Kolay gelsin...
Sql Inj. mysql_real_escape_string & addslashes Bypass :
http://omercitak.net/sql-inj-mysql_real_escape_string-ve-addslashes-bypass.html