Wie schütze ich mich vor SQL-Injection?

RedFighter

Hallo,

ich wollte mich erkundigen wie ich meinen Datenbanken vor SQL-Injection sichern kann. Ich bin ein richtiger Anfänger was SQL angeht deshalb wäre es nett wenn es jemand sehr "einfach" erklären, oder mir ein Link dazu geben könnt. Ich betreibe ein Browsergame und habe dort eine Hackdrohung bekommen.

Bitte um Hilfe!!!

Red[/quote]

No0ob

Variablen bei SQl_Verwendung grundsätzlich escapen und sich nie auf User-Eingaben verlassen.
Grundprinzip: All Input Is Evil

Dodo

Wie NoOob schon gesagt hat: All Input is Evil

zuerst überprüfen ob variablen auch gewünschte werte enthalten

also wenn man eine zahl eingeben muss und es kommt, ein text ist es schon mal falsch

ausser dem noch die funktion: mysql_real_escape_string()

--------------------------------------------------------------------------

Also wie am Flughafen, alles wird gründlich durchsucht
Wenn was nicht passt, sofort elimieren

RedFighter

mysql_real_escape_string() , könntest das etwas genauer beschreiben? Wäre klasse. Muss ich da was in der Login.php ändern? Wenn ja was? Oder lieg ich wie immer falsch?

Red

Bandit

Doku kaputt? Ich schenke dir 'ne neue: mysql_real_escape_string

RedFighter

Hehe wie oft soll ich das noch lesen xP

Da steht nur Zeug drinne was ein Anfänger in diesem Gebiet nich so richtig vertshet (z.B. ICH^^)

Gibts da keine leichtere Anleitung?

Bandit

Wenn du die doku bei so einfachen funktionen schon nicht verstehst, ist dann programmieren das richtige hobby für dich? Man könnte ja auch einfach mal etwas experimentieren oder eines der zahlreichen tutorials lesen.

$string = mysql_real_escape_string($_POST['name_vom_formularfeld']);

RedFighter

Da hat erst

Code

mysql_escape_string($_POST['username'])

gestanden und ich habe es durch

Code

mysql_real_escape_string($_POST['username'])

das ersetzt, wie es in wikipedia steht.

Stimmt das? bzw. reicht das schon?

Dodo

ich hab dir in meinem 1. post noch geschrieben, was was wichtigste ist
aber das hast du anscheinend überlesen

::RMB::

Prepared statements sind dafür super geeignet. Schau dir mal PDO an.

Numerische Werte kannst du als intetgr casten.

Beispiel

Code

mysql_query('SELECT * FROM `xxx` WHERE `ID`="'.(int)$_GET['id'].'" LIMIT 1');

Und wie oben schon erwähnt mysql_real_escape_string();

The User

PDO ist wirklich das beste.
Geht auch recht einfach, stell dir vor, du hast ein PDO-Obfekt angelegt:

Code

$result = $dbh->prepare("INSERT INTO tabelle (spalte1, spalte2) VALUES (?, ?)");
$result->execute(array($_POST['spalte1'], $_POST['spalte2']));

Und der Benutzer kann jetzt so viele SQL Befehle POSTen, wie er will, die Befehle werden dann in der DB gespeichert.
Du musst es dir natürlich noch etwas genauer anschauen.

Viele liebe Grüße
The User

RedFighter,
guuuten...aber sehr guuuten tag RedFighter *grinz*
was für ein zufall dass ich dich finde....hmmmm

also eig. is der tag nicht so gut....denn
DEEEENNNN...
THE LAST UNIVERSE funktioniert nich....
wiesoo????

mfg
warboy

Tags