Datenbankabfrage sicher?

    Moin moin,
    mir hat ein kleiner Programmierer ein ebenso kleiens Script geschrieben.
    Nun wollte ich gerne einmal wissen ob das was der kleine Programmierer geschrieben hat auch wirklich sicher ist, weswegen ich heir meine Frage an Euch richte ;)
    Es handelt sich um einen Adminlogin.
    Die entsprechenden Teile hier in aller Kürze:

    1) Loginformular für den Admin welches in den Variablen $username den Usernamen und in $passwort das Passwort an folgende Datei sendet:

    2) Datei die eben genanntes ausliest, eien DB-Abfrage macht und bei Korrektheit der Daten etwas ausgibt:

    Könnte es nun sein, dass sobald der böse Mann, sobald er diesen Schnipsel sieht, zu meiner Seite rennt und dreist in meinen Adminbereich eindringt?
    Verzeiht mir, ich bin nicht so bewand in PHP und die entsprechenden Threads für SQL-injections brachten mir nciht viel da diese immer voraussetzten dass die übergeben Variable des Loginscriptes direkt im Query weietrverwendet wird, hier werden erst die Daten ausgelesen und dann mit der Eingabe verglichen - scheinbar ideal mag ich denken, doch ich frage lieber noch einmal jemanden der es besser weiß ;)


    Gruß & Thx,
    Euer lolman :)

    SQL Injections sind so nicht möglich, da bei den Querys keine vom User eingegebene Strings ausgewertet werden.

    Um es genau beurteilen zu können, müsste man das ganze Script sehen.
    Wie zum Beispie, wie du die eingebenen Daten übernimmst

    Aber jerne doch - ich versende sie per Post - nächsten Tag ist dann der Postbote da und wirft sie in den Briefkasten des Servers ;)

    Das Formular muss ich ja nicht weiter, oder?
    oder!

    Code
    <form action="datei2.php" method="POST">
<input type="text" size="20" name="username">


 <input type="password" size="20" name="passwort">
</form>


    Vielen Dank schonma,
    Euer lolman :)

    @RMB:
    Nein, die Variablen sind ja schon vorhanden da im Formular per Post übermittelte Eingabefeldernamen etc. schon direkt eine Variable gleichen Namens zugeordnet wird - hier eben $username und $passwort.

    webcool:
    Ja, diesen Text las ich auch, nur ist dort ja eine ganz andere Situation gegeben, nämlich dass die übermittelten Daten direkt in die Datenbankanfrage eingefügt werden - hier werden sie nur mit der Datenbankabfrage verglichen.
    Zu der configdatei sollte ich vll noch sagen, dass diese sihc in einem Ordner namens "config" in der Datei config.php befindet.
    Wie kann man denn das ausnutzen wenn die Rechte auf 777 stehen würden?
    Kann mann sie dann einfach mit fsockopen(); und der kompletten Pfadangabe (http://etc.) öffnen?


    Vielen Dank schonmal,
    Euer lolman :)

    ja knn man denn mit 777 chmod gibst du die erlaubnis das auch externe scripte die betroffene Datei ausführen z.b. mit include, Lesen oder beschreiben dürfen !

    ausser wenn in der php.ini Datei es dem entsprechen gesperrt worden ist z.b.
    fsockopen wie bei funpic oder das man nur dateien ausführen darf die im dateisystem zur verfügung stehen !

    das weiss ich nicht, ich weiss ja nicht was die methoden in deiner klasse machen kann ja sein das du dort ja usereingaben übergibst da du ja au ein formular haben musst ! wie schon mal in diesem thread erwähnt muss ich das ganze script sehen !

    Faustregel ist das alle usereingaben auch cookies und sessions immer als manipuliert betrachtet werden sollten und dem entsprechend sicherst du dich ab mit den funktionen die ich in meinem tut benutzt habe !

    :D