SQL-Injection

ajo_silent · 20.12.2005, 12:01

Hallo,

kann man in einem Text bösartigen Code einschleusen?
Hier ein Beispiel:
SELECT * FROM tabelle WHERE name='$suchtext';

Ist es möglich, dass man da Code einschleusen könnte?

Danke

DerDesian · 20.12.2005, 12:20

Ja, zB wenn

Code:

$suchtext = "'; SHOW TABLES";

oder

Code:

$suchtext = "'; INSERT INTO User (name, permissions) VALUES ('schummeladmin', 'darfalles')";

Deshalb macht man

Code:

$query = "SELECT * FROM tabelle WHERE name='".addslashes($suchtext)."'";

Dann werden die ' in der Variablen $suchtext 'ausgesslashed' und verlieren ihre beabsichtigte Funktion. Stadtdessen wirde das 'böswillige' SQL einfach als Text behandelt und halt danach gesucht.

Gruß
Der Desian

ajo_silent · 20.12.2005, 13:50

ich danke dir

Ricochet · 20.12.2005, 13:52

Statt mitt addslashes() lieber mit mysql_real_escape_string() arbeiten, da mit hoher Warscheinlichkeit magic quotes ohnehin eingeschaltet ist.

Hier ein Beispiel für 'best practice':

PHP-Code:

  $suchtext = mysql_real_escape_string($suchtext);

 
$sql = "SELECT * FROM tabelle WHERE name='%s'";

 
$sql = sprintf($sql, $suchtext);

 
mysql_query($sql, $dbcnx);

imported_Ben · 20.12.2005, 13:54

Kannst auch mal hier durchschmökern .. vielleicht findet man da noch etwas:

http://forum.developers-guide.net/showthread.php?t=159

Grüße Ben.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Regex gegen Sql Injection	notyyy	PHP-Fortgeschrittene	8	20.10.2007 17:57
Sql Injection durchführen?	Matthiasnet	PHP Tipps 2007	10	21.06.2007 21:16
MySQL injection: mysql_real_escape_string	tekknotrip	PHP Tipps 2006	5	07.07.2006 11:46
[Erledigt] Dependency/Property Injection		Off-Topic Diskussionen	1	18.05.2006 10:52
[url]http://phpmailer.sourceforge.net[/url] injecion secure?		PHP Tipps 2007	6	22.12.2005 14:22
SQL - Injection	Stümper	Datenbanken	1	30.05.2005 06:36
mysql injection wirkungsvoll verhindern		PHP Tipps 2005	4	09.04.2005 18:08
SQL Injection Frage	Ypsillon	PHP Tipps 2004-2	3	31.12.2004 00:30
Injection / XSS		PHP Tipps 2004-2	4	22.11.2004 10:08

20.12.2005, 12:01
ajo_silent Erfahrener Benutzer Registriert seit: 08.11.2004 Beiträge: 104	SQL-Injection Hallo, kann man in einem Text bösartigen Code einschleusen? Hier ein Beispiel: SELECT * FROM tabelle WHERE name='$suchtext'; Ist es möglich, dass man da Code einschleusen könnte? Danke


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

20.12.2005, 12:20
DerDesian Erfahrener Benutzer Registriert seit: 02.03.2005 Beiträge: 305	Ja, zB wenn Code: $suchtext = "'; SHOW TABLES"; oder Code: $suchtext = "'; INSERT INTO User (name, permissions) VALUES ('schummeladmin', 'darfalles')"; Deshalb macht man Code: $query = "SELECT * FROM tabelle WHERE name='".addslashes($suchtext)."'"; Dann werden die ' in der Variablen $suchtext 'ausgesslashed' und verlieren ihre beabsichtigte Funktion. Stadtdessen wirde das 'böswillige' SQL einfach als Text behandelt und halt danach gesucht. Gruß Der Desian __________________ Wenn dich was ankotzt, machs besser.

20.12.2005, 13:50
ajo_silent Erfahrener Benutzer Registriert seit: 08.11.2004 Beiträge: 104	ich danke dir

20.12.2005, 13:52
Ricochet Benutzer Registriert seit: 08.08.2005 Beiträge: 86	Statt mitt addslashes() lieber mit mysql_real_escape_string() arbeiten, da mit hoher Warscheinlichkeit magic quotes ohnehin eingeschaltet ist. Hier ein Beispiel für 'best practice': PHP-Code: `$suchtext = mysql_real_escape_string($suchtext); $sql = "SELECT * FROM tabelle WHERE name='%s'"; $sql = sprintf($sql, $suchtext); mysql_query($sql, $dbcnx);` __________________ Tabellenlayouts sind out, Browsergames sind schei$$e und die Erde ist eine Scheibe.

20.12.2005, 13:54
imported_Ben Erfahrener Benutzer Registriert seit: 18.09.2003 Beiträge: 13.598 PHP-Kenntnisse: Fortgeschritten	Kannst auch mal hier durchschmökern .. vielleicht findet man da noch etwas: http://forum.developers-guide.net/showthread.php?t=159 Grüße Ben. __________________ Webentwickler-Blog - Buchbesprechung PHP Design Patterns - SQL-Antipatterns