kostenloser Webspace werbefrei: lima-city

sicherheit

lima-city → Forum → Programmiersprachen → PHP, MySQL & .htaccess

1. Autor dieses Themas

   speckuntu

   

   speckuntu hat kostenlosen Webspace.

   9:38, 14.8.2008

   was macht ihr gegen sql-Injection?
   
   
   Beitrag geändert: 14.8.2008 11:20:49 von speckuntu

2. Diskutiere mit und stelle Fragen: Jetzt kostenlos anmelden!

   lima-city: Gratis werbefreier Webspace für deine eigene Homepage

3. s********r

   10:32, 14.8.2008

   Was ist das? Soweit ich weiss gibt es nur die Wörter injection oder ejection... Beide Wörter stehen für mich nicht unbedingt im Zusammenhang mit einer Sicherheitslücke...
   
   MfG
   
   sebigisler

4. progger

   

   progger hat kostenlosen Webspace.

   10:50, 14.8.2008

   Er meint vermutlich das:
   http://de.wikipedia.org/wiki/SQL_Injection
   Aber soweit ich weiß, kannst du etwas dagegen machen, indem du vom Browser übergebene Daten mit der Funktion mysql_real_escape_string bearbeitest.
   ->http://de3.php.net/manual/de/function.mysql-real-escape-string.php
   
5. Autor dieses Themas

   speckuntu

   

   speckuntu hat kostenlosen Webspace.

   11:22, 14.8.2008

   sorry, die blöden rechtschreibfehler es heiß natürlich :SQL-Injection
   und die frage war wiekann ich die sicherheitslücke schließen?

6. sebell

   sebell hat kostenlosen Webspace.

   11:41, 14.8.2008

   
   sorry, die blöden rechtschreibfehler es heiß natürlich :SQL-Injection
   und die frage war wiekann ich die sicherheitslücke schließen?
   

   
   
   Dazu bedarf es vieler Möglichkeiten.
   Die Mindestanforderungen sind folgende:
   1. Die POST- und GET-Variablen prüfen und notfalls entschäfern, damit schon einmal damit keine SQL Befehle übergeben werden können.
   2. Nie direkt POST- und/oder GET-Variablen in SQL-Befehle einarbeiten, sondern diese vorher gegenprüfen lassen
   oder alternativ
   3. Wie oben schon von progger geschrieben: mysql_real-escape_string nutzen.
   
   Wobei ich persönlich immer alle 3 Schritte zusammen nutze, um die Gefahr möglichst gering zu halten.

7. lucas9991

   

   lucas9991 hat kostenlosen Webspace.

   13:00, 14.8.2008

   Einfach alle Variablen, die du in MySQL Statements schreibst vorher mit "mysql_real_escape_string ()" escapen. Eigentlich recht simpel. :-)

8. e********l

   13:31, 14.8.2008

   
   was macht ihr gegen sql-Injection?
   
   
   Beitrag geändert: 14.8.2008 11:20:49 von speckuntu
   

   
   
   Nicht viel, nur die Parameter die ins SQL Statement einfließen manipulieren falls nötig.
   

   if (get_magic_quotes_gpc()) {
   	$param = stripslashes($param);
   }
   
   if (is_numeric($param) !== true && is_int($param) !== true) {
   	$param = "'".mysql_real_escape_string($param)."'";
   }

9. Diskutiere mit und stelle Fragen: Jetzt kostenlos anmelden!

   lima-city: Gratis werbefreier Webspace für deine eigene Homepage

Dir gefällt dieses Thema?