Benutzereingaben von Formular prüfen (Sicherer Code?)

27.01.2005, 08:27

Hi @all,

ich habe jetzt schön öfters auf dirvesen Mailinglisten gelesen, dass folgender Code extrem unsicher ist, ich weiß auch warum. Nur frage ich mich wie soll man den Code umschreiben, das es sicherer ist? Bin für jeden Tipp dankbar.
Nun hier der Code:

Code:

//$_GET oder $_POST

if( isset( $_GET['id'] ) ){
         $id = $_GET['id'];
         $sql = "SOME SQL STATMENT WHERE ID=$id";
         simple_sql_function( $sql );
}

sollte die id auf zahl geprüft werden?
wie sollen z.B. andere Benutzereingaben geprüft werden?
Wie gesagt bin für jeden Tipp dankbar.

mfg

axel

vielen dank im voraus

suter · 27.01.2005, 08:37

für was brauchst du die id?

27.01.2005, 08:45

PHP-Code:

  <?php

if (isset$_GET['id']))

{

  if (! get_magic_quotes_gpc())

    $_GET['id'] = addslashes($_GET['id']);

 
  $res = mysql_query( sprintf( "SELECT irgendwas FROM tabelle WHERE id = '%s'", $_GET['id']));

# machwas mit $res

}

?>

27.01.2005, 09:14

du könntest $id zb per (int)$id in ne zahl umwandeln .. klappt das nicht, isses automatisch
0 und trifft somit keinen datensatz - angenommen du fängst wie sonst üblich bei 1 ein

derHund · 27.01.2005, 09:15

alternativ kann man auch bei aktiviertem mq stripslashes und mysql_real_escape_string verwenden, zahlen auch ganz brachial nach int casten.

27.01.2005, 10:08

Vielen dank für eure Antworten,

man sollte also vorher die eingaben prüfen z.B. is_int( $var) bevor man weiter damit arbeite, soweit sogut.

mfg

axel

27.01.2005, 10:16

12.11. Prüfe importierte Parameter. Traue niemandem
http://www.php-faq.de/q/q-sicherheit-parameter.html

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
PHP: Formular Generator	Zergling-new	Tutorials	16	06.07.2010 03:14
Design und Code Trennen	TeazY	PHP Tipps 2008	29	21.05.2008 12:08
Wert aus Textfeld in neues Formular übernehmen (kein Submit)	PsychoEagle	HTML, Usability und Barrierefreiheit	9	02.01.2007 14:51
formular includen	samspa5	PHP Tipps 2006	13	18.03.2006 11:37
[Erledigt] Formular in Formular		HTML, Usability und Barrierefreiheit	4	19.10.2005 12:18
Subject in Email Formular		PHP Tipps 2005-2	1	10.09.2005 12:58
Dynamischer Text in einer Grafik per Formular einfügen		PHP Tipps 2005-2	2	19.08.2005 00:55
[Erledigt] Lesbarkeit von Code		Off-Topic Diskussionen	6	14.07.2005 14:48
[Erledigt] PHP Formular ~~wichtig~~		PHP Tipps 2005	27	29.05.2005 19:38
Formular		PHP Tipps 2005	2	05.01.2005 22:17
Formular nach UPDATE anzeigen		PHP Tipps 2004-2	5	22.12.2004 02:06
[Erledigt] HTML Formular durch PHP Code per Mail versenden		PHP Tipps 2004-2	3	12.11.2004 11:48
wie sichere ich ein Formular gegen fremden PHP Code ab		PHP Tipps 2004-2	2	10.11.2004 15:28
Code PRoblem (FOrmular)		PHP Tipps 2004-2	20	07.11.2004 01:07
[Erledigt] Daten in neuem Formular anzeigen		PHP Tipps 2004	6	21.07.2004 10:44

27.01.2005, 08:27
Gast Beiträge: n/a	Benutzereingaben von Formular prüfen (Sicherer Code?) Hi @all, ich habe jetzt schön öfters auf dirvesen Mailinglisten gelesen, dass folgender Code extrem unsicher ist, ich weiß auch warum. Nur frage ich mich wie soll man den Code umschreiben, das es sicherer ist? Bin für jeden Tipp dankbar. Nun hier der Code: Code: //$_GET oder $_POST if( isset( $_GET['id'] ) ){ $id = $_GET['id']; $sql = "SOME SQL STATMENT WHERE ID=$id"; simple_sql_function( $sql ); } sollte die id auf zahl geprüft werden? wie sollen z.B. andere Benutzereingaben geprüft werden? Wie gesagt bin für jeden Tipp dankbar. mfg axel vielen dank im voraus


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

27.01.2005, 08:37
suter Erfahrener Benutzer Registriert seit: 06.09.2003 Beiträge: 309	für was brauchst du die id?

27.01.2005, 08:45
Gast Beiträge: n/a	PHP-Code: `<?php if (isset$_GET['id'])) { if (! get_magic_quotes_gpc()) $_GET['id'] = addslashes($_GET['id']); $res = mysql_query( sprintf( "SELECT irgendwas FROM tabelle WHERE id = '%s'", $_GET['id'])); # machwas mit $res } ?>`

27.01.2005, 09:14
Gast Beiträge: n/a	du könntest $id zb per (int)$id in ne zahl umwandeln .. klappt das nicht, isses automatisch 0 und trifft somit keinen datensatz - angenommen du fängst wie sonst üblich bei 1 ein

27.01.2005, 09:15
derHund Erfahrener Benutzer Registriert seit: 29.10.2004 Beiträge: 1.781	alternativ kann man auch bei aktiviertem mq stripslashes und mysql_real_escape_string verwenden, zahlen auch ganz brachial nach int casten. __________________

27.01.2005, 10:08
Gast Beiträge: n/a	Vielen dank für eure Antworten, man sollte also vorher die eingaben prüfen z.B. is_int( $var) bevor man weiter damit arbeite, soweit sogut. mfg axel

27.01.2005, 10:16
Gast Beiträge: n/a	12.11. Prüfe importierte Parameter. Traue niemandem http://www.php-faq.de/q/q-sicherheit-parameter.html