¿Inyección de SQL para un formulario de nombre de usuario / contraseña?

Mientras use SQL dinámico, SQL-Injection seguirá siendo un vector de ataque abierto. Si desea protegerse contra la inyección de SQL, el camino a seguir es mediante consultas parametrizadas. Sospecho que está utilizando PHP + MySQL, por lo que este sería un ejemplo de una consulta parametrizada.

$dbh = new PDO('mysql:host=localhost;dbname=example', 'user', 'password');
$sth = $dbh->prepare('SELECT * FROM users WHERE username=? AND binary password=?');
$sth->execute(array($_POST['username'], $_POST['password']));
$result = $sth->fetch_all();

Por supuesto, eliminar la entrada del usuario de los caracteres ilegales puede ser algo que desee hacer porque, aunque su sitio esté protegido contra la inyección de SQL, es posible que sus usuarios sean atacados a través de XSS. Así que sugiero una combinación de ambas técnicas.

Estoy de acuerdo con mike, que al usar consultas parametrizadas puede deshacerse de las inyecciones de SQL, pero nuevamente, eso depende de cómo se construyen.

Yo diría que usar una lista blanca siempre es mejor que usar una lista negra. Cuando intentamos enumerar los tipos de ataques, siempre existe la posibilidad de que un ataque salte. Como mencionó, filtrar 1 = 1 pero luego a = a, me = me producirá el mismo resultado ... Por lo tanto, la inclusión en listas blancas ayudaría cuando inicialmente solo acepte lo que quiere y descarte a otros usando expresiones regulares ... luego consultas parametrizadas ... .

La mejor respuesta a esta pregunta es anular la pregunta. El código que muestra es vulnerable, y la única forma razonable de solucionarlo es arreglar el código. La mejor solución es utilizar una declaración preparada o una consulta parametrizada: no utilice la concatenación de cadenas para crear consultas SQL. La recopilación de ejemplos de ataques no conducirá a una defensa eficaz contra los ataques de inyección de SQL. Las probabilidades son que siempre habrá un ataque más que no esté en tu lista.

Estoy de acuerdo con las respuestas anteriores, solo corrija el código para que sea seguro. Pero también recomiendo algún tipo de recopilación de datos del sitio en vivo, de modo que alguien que esté intentando los ataques pueda ser prohibido.