Sicherheitsfrage Suchfunktion per GET

Starfox · 13.01.2012, 22:21

Hi zusammen,

Ich habe nur eine kurze Sicherheitsfrage.

Ich habe ein Suchfeld auf meiner index.php und Sende dort mein Formular per GET ab.

Das Formular und die Auswertung erfolgt beides in der index.php

Filtern und Escapen tu ich wie folgt:

Index.php das Formular:

Code:

<form action="index.php" method="get">
    <div class="searchbar">
      <input type="text" name="search" class="searchfield input" id="searchfield" maxlength="200" alt="Suche... " value="Suche... " onclick="document.getElementById('searchfield').value=''; this.style.color = '#000';" />
             <input type="submit" id="submit" class="search-button" value="" />
    </div>
  </form>

PHP-Code:

  <?php // Suche
      if(isset($_GET["search"]) && !empty($_GET["search"])) {
        
    $search = preg_replace( "/[^a-z0-9]/i", "", $_GET["search"] );

$sql = "SELECT * FROM ".$sqltab27." WHERE name LIKE '%".$db->escape($search)."%'";

usw ......
    ?>

Ich hab mal was von Tokens und Cross Site Script Attacken gelesen, ist das hier von Nöten ?

13.01.2012, 22:29

Tokens gibts z. B. bei OAuth. Kurzfristige, eindeutige Keys, mit denen Berechtigungen erteilt werden. Wüsste nicht, warum man bei einem normalen Formular einen Token benötigen sollte.

Cross Site Script (XSS) muss man hingegen immer beachten. Lässt sich aber leicht dadurch ausschließen, dass man alle dynamischen Ausgaben in ein htmlentities oder htmlspecialchars packt. Trägt ein User in ein Textfeld ein Javascript ein, wird es dann nicht als JavaScript ausgeführt sondern nur als normaler Text ausgegeben.

Was bei dir fehlt, ist die Berücksichtigung von Sonderzeichen bei der Suche mit LIKE. _ und % müssen escapt werden. Dafür gibts addcslashes.

nikosch · 13.01.2012, 22:55

Zitat:

Wüsste nicht, warum man bei einem normalen Formular einen Token benötigen sollte.

Z.B. um einen doppelten Submit auszushließen.

Zitat:

if(isset($_GET["search"]) && !empty($_GET["search"])) {

empty impliziert isset, isset kann hier also weggelassen werden.

Zitat:

Was bei dir fehlt, ist die Berücksichtigung von Sonderzeichen bei der Suche mit LIKE. _ und % müssen escapt werden. Dafür gibts addcslashes.

Dann schau mal in die Zeile darüber.

13.01.2012, 23:05

Zitat:

Dann schau mal in die Zeile darüber.

Ahja. Na OK.

Starfox · 14.01.2012, 16:29

Zitat:

Cross Site Script (XSS) muss man hingegen immer beachten. Lässt sich aber leicht dadurch ausschließen, dass man alle dynamischen Ausgaben in ein htmlentities oder htmlspecialchars packt. Trägt ein User in ein Textfeld ein Javascript ein, wird es dann nicht als JavaScript ausgeführt sondern nur als normaler Text ausgegeben.

Das habe ich ja mit :

PHP-Code:

  $search = preg_replace( "/[^a-z0-9]/i", "", $_GET["search"] );

schon gemacht es werden ja nur Buchstaben und Zahlen vom Formular her zugelassen bzw alles andere eben gegen "" ersetzt.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Suchfunktion einbauen	estebu	PHP Tipps 2010	10	08.03.2010 23:13
Suchfunktion - nur bestimmte Seiten durchsuchen	54ch4	PHP Tipps 2009	5	02.10.2009 19:49
[Erledigt] Bitte um Hilfe bei erweiterter Suchfunktion	ePole	PHP Tipps 2009	20	13.08.2009 11:23
[Erledigt] Einfache Suchfunktion, bestimmte Seite nicht mit anzeigen.	pixelprinzessin	PHP Tipps 2009	6	31.07.2009 07:46
Suchfunktion via DropdownMenü & Javascript	RostigerNagel	PHP Tipps 2009	2	03.07.2009 12:09
Suchfunktion MySQL-Abfrage, meiste Treffer zuerst	Felk	PHP Tipps 2009	10	23.02.2009 22:42
[Erledigt] Suchfunktion "Spezial"	errox	PHP Tipps 2008	3	04.11.2008 12:41
Suchfunktion mit JavaScript	snboy2007	JavaScript, Ajax und mehr	2	31.10.2007 13:38
Suchfunktion für die Homepage? Was muss der Anfänger wissen?		PHP Tipps 2005-2	1	11.10.2005 18:39
suchfunktion		PHP Tipps 2005-2	3	27.09.2005 16:39
Fehler bei Suchfunktion	Matthias959	Off-Topic Diskussionen	4	17.09.2005 21:26
MySql error -- Suchfunktion mit mehreren Begriffen		PHP Tipps 2005	1	12.04.2005 21:06
Suchfunktion		PHP Tipps 2005	8	03.04.2005 15:52
Suchfunktion nur für EINE Seite !		HTML, Usability und Barrierefreiheit	2	24.03.2005 18:42

13.01.2012, 22:21
Starfox Neuer Benutzer Registriert seit: 29.11.2011 Beiträge: 4 PHP-Kenntnisse: Anfänger	Sicherheitsfrage Suchfunktion per GET Hi zusammen, Ich habe nur eine kurze Sicherheitsfrage. Ich habe ein Suchfeld auf meiner index.php und Sende dort mein Formular per GET ab. Das Formular und die Auswertung erfolgt beides in der index.php Filtern und Escapen tu ich wie folgt: Index.php das Formular: Code: <form action="index.php" method="get"> <div class="searchbar"> <input type="text" name="search" class="searchfield input" id="searchfield" maxlength="200" alt="Suche... " value="Suche... " onclick="document.getElementById('searchfield').value=''; this.style.color = '#000';" /> <input type="submit" id="submit" class="search-button" value="" /> </div> </form> PHP-Code: `<?php // Suche if(isset($_GET["search"]) && !empty($_GET["search"])) { $search = preg_replace( "/[^a-z0-9]/i", "", $_GET["search"] ); $sql = "SELECT * FROM ".$sqltab27." WHERE name LIKE '%".$db->escape($search)."%'"; usw ...... ?>` Ich hab mal was von Tokens und Cross Site Script Attacken gelesen, ist das hier von Nöten ?


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

13.01.2012, 22:29
php.de Gast Beiträge: n/a	Tokens gibts z. B. bei OAuth. Kurzfristige, eindeutige Keys, mit denen Berechtigungen erteilt werden. Wüsste nicht, warum man bei einem normalen Formular einen Token benötigen sollte. Cross Site Script (XSS) muss man hingegen immer beachten. Lässt sich aber leicht dadurch ausschließen, dass man alle dynamischen Ausgaben in ein htmlentities oder htmlspecialchars packt. Trägt ein User in ein Textfeld ein Javascript ein, wird es dann nicht als JavaScript ausgeführt sondern nur als normaler Text ausgegeben. Was bei dir fehlt, ist die Berücksichtigung von Sonderzeichen bei der Suche mit LIKE. _ und % müssen escapt werden. Dafür gibts addcslashes. Geändert von php.de (13.01.2012 um 22:38 Uhr).