XSS | SQL injection

mysql_query("INSERT INTO `chat` SET `id_user` = '$user[id]', `msg` = '$msg', `time` = '".time()."'";
$ank = mysql_fetch_assoc(mysql_query("SELECT * FROM `user` WHERE `id` = [red]$_GET[id][/red] LIMIT 1");
<input tabindex="1" value="'[red].$ank[nick].[/red]', " type="text" name="msg" /><br />
Вот нашел sql injection, sql injection и xss как мне их закрить и можна ли взломать мой сайт через них

Изм. 1 раз. / Посл. изм.

Busta 1.14

(29 май 2014, 17:14)

кинь ссылку на сайт а вообще, фильтруй _GET

Изм. 1 раз. / Посл. изм.

Кидорас 10.7

(29 май 2014, 17:08)

фильтрируй

За 2 минуты могу слить все данные + сделать дефейс.

юзай abs(intval

Изм. 1 раз. / Посл. изм.

DoTer 0.34

(29 май 2014, 17:11)

Имба, дай пример и покажи как можна ломануть

mysql_query("INSERT INTO `chat` SET `id_user` = '$user[id]', `msg` = '$msg', `time` = '".time()."'";
$ank = mysql_fetch_assoc(mysql_query("SELECT * FROM `user` WHERE `id` = abs(intval($_GET[id])) LIMIT 1");
<input tabindex="1" value="'.$ank[nick].', " type="text" name="msg" /><br />

Не, я не крякер. $msg - какое в ней значение?

я бы еще трим до кучи добавил

Имба, так подойдет mysql_query("INSERT INTO `chat` SET `id_user` = '$user[id]', `msg` = '".mysql_real_escape_string($msg)."', `time` = '".time()."'";