[TUT] MySQL SQL Injection verhindern [TUT]

**Azey**

SQL-Injections mit mysql_real_escape_string(); verhindern

Als SQL-Injections bezeichnet man Angriffe auf eine SQL-Query bei der Werte eingeschleusst werden, die vom Webseitenbetreiber eigentlich so nicht vorgesehen waren.

Nehmen wir an, wir haben folgende Beispielhafte SQL-Query:

SQL

$query = "SELECT * FROM users WHERE user='$user' AND password='$password'";

Nun könnte ein Angreifer ins Formularfeld Password den String ' OR 1=1' eingeben, um sich als admin einzuloggen. Was würde aus der Query dann werden? Sie lautete:

SQL

SELECT * FROM users WHERE user='admin' AND password='' OR 1=1'

Weil 1=1 immer wahr ist würde SQL die Bedingung also als erfüllt ansehen und dem Nutzer das einloggen erlauben.
Hier kommt mysql_real_escape_string(); ins Spiel.

Eine Query, deren Eingaben mit mysql_real_escape_string(); maskiert worden sind, bietet diese Angriffsgefahr nicht! So zum Beispiel:

SQL

$query = "SELECT * FROM users WHERE user='".mysql_real_escape_string($user)."' AND password='".mysql_real_escape_string($password)."'";

TUT Quelle

Spoiler anzeigen

Zitat

http://www.php-lernen.org/php-mysql-sich…ape_string.html

Da ich kein Bock hab selben ein TUT zu schreiben

Everything53 >>MeFoo#™

Alter wie geht es MasterPHP kannste es mir zeigen ? Wenn du skype hast adde mich : Yunus3323

Finch

Zitat von TheMaker

Alter wie geht es MasterPHP kannste es mir zeigen ? Wenn du skype hast adde mich : Yunus3323

Er hat doch hier ein Tutorial gepostet, wie es geht. Lies dir das doch mal ganz durch und nicht nur die Überschrift..

**Azey**

Zitat von TheMaker

Alter wie geht es MasterPHP kannste es mir zeigen ? Wenn du skype hast adde mich : Yunus3323

Einfach die Querry mit mysql_real_escape_string(); wo die eingabe sind in unserenfall $user oder $passwort

HFalone

PHP

(public) function escape($textzumfiltern)
{
    return htmlspecialchars(mysql_real_escape_string($textzumfiltern));
}

dann muss man nicht die riesige Funktion schreiben und man hat dafür es 2x gefiltert. Write less, do more

SteveWinfield

Zitat von HFalone
PHP
(public) function escape($textzumfiltern)
{
    return htmlspecialchars(mysql_real_escape_string($textzumfiltern));
}
dann muss man nicht die riesige Funktion schreiben und man hat dafür es 2x gefiltert. Write less, do more

Kommt drauf an, wenn man den Text so ausgibt bringt es einem
nichts wenn es für eine Query escaped wurde.

Und wenn man eine Query festlegt bringt es einem
nichts wenn es für XSS escaped wurde.

Cheers,
Steve Winfield

Littlericket

Warum so schwer, warum nicht einfach alle $_GET und $_POST anfragen filtern lassen?
sowas passiert nämlich meistens durch den variablen, ich glaube kaum das jemand sowas wie ' in ne variable packt und dann die query dafür ausgibt (okay, Amateure vielleicht)

PHP

foreach($_POST as $key => $val)
 $_POST[$key] = mysql_real_escape_string($val);


foreach($_GET as $key => $val)
 $_GET[$key] = mysql_real_escape_string($val);

dann muss man das nicht immer extra mit ner funktion machen sondern das einfach am anfang jedes skriptes hinzufügen (include 'cleanup.php')

oder wer ganz sicher gehen will macht das mit den $GLOBALS;

Cabbo.eu

Unnötig da 99% aller unserer selbsternannten "Hacker/Downer" nur ein ddos tool bedienen können und von Sql Injection keine Ahnung haben.

SteveWinfield

Zitat von SheeX_x77

Unnötig da 99% aller unserer selbsternannten "Hacker/Downer" nur ein ddos tool bedienen können und von Sql Injection keine Ahnung haben.

Es gibt welche die es können (und die, die es nicht können nutzen halt einfach Havij), und die finden es wohl funnier im Hotel Alerts
zu versenden und Screens auf RT zu posten als die Seite zu downen.

Cheers,
Steve Winfield

**Azey**

An Alle die jetzt meinen die Methode zu erleichtern ich habs fuer die anfaenger gemacht wollte es auf die Leichte art machen

GATGAT

hmm es würde auch an ders gehen aber ich denke auch diese Funktion ist nicht Ganz Sicher mann könnte noch mysql Bugs ausnutzen und da Funktioniert das nicht mit diesem Class

Jetzt mitmachen!