ein ganz delikates Problem

pit62 · 19.05.2005, 08:46

ich habe ein ganz delikates Problem.
Seit fast drei Jahren betreibe ich ein Besucher-Voting (Hp des Monats/Jahres) und hatte bisher nie Probleme.
z.B. dieser Link wäre mal ein solcher :
http://pcwagner.fanforum-deutschland...con62.surft.de
Die abgegebene Stimme wird dann ausgewertet (Ip-Sperre usw.).
die Stimme wird dann wenn kein Abbruch durch Auswertung in der Db gespeichert.
Nun habe ich seit einigen Tagen das Problem,dass hier Unfug getrieben wird und ich komme nicht dahinter wie?
Einmal waren alle Daten aus der Db gelöscht (was das Voting betrift andere Daten wurden nicht angetastet)
dann wurden mehrmals die Stimmenanzahl verändert.
Ist es eine Sicherheitslücke?
Das Admin-Passwort habe ich des öfteren verändert somit denke ich dass das Problem hier nicht liegen kann.
Da das Voting am laufen ist kann ich den Code im Moment nicht Posten.
Hat jemand eine Idee, wie ich diese Sache feststellen und ggf.beseitigen kann?

MfG

robo47 · 19.05.2005, 08:50

stichwort mysql-injection ?
ehrlichgesagt, ohne code kann dir hier keiner weiterhelfen, weil keiner weis was du da verbrochen hast oder auch nicht.

pit62 · 19.05.2005, 09:09

Zitat:

Zitat von robo47

stichwort mysql-injection ?
ehrlichgesagt, ohne code kann dir hier keiner weiterhelfen, weil keiner weis was du da verbrochen hast oder auch nicht.

Dachte auch eher daran, ob es mit Hilfe irgendwelcher scripts zb. die config-Datei (welche mitunter das Passwort beinhaltet) auszulesen?

robo47 · 19.05.2005, 09:26

sorry aber dir kann so keiner helfen, keine weis was du für scripte sonst benutzt, wo du noch fehler gemacht hast, was unsicher ist etc.
ohne ne komplette code-einsicht in alles was auf dem space läuft wäre es nciht möglich zu sagen woher das ganze kommt und ich glaub nicht, dass das jemand für ohne geld macht :P

19.05.2005, 10:22

Bei dir ist SQL-Injection möglich. Man braucht nur den Link etwas editieren und am Ende ein ' einfügen, schon kriegt man einen deftigen SQL-Error. Wer noch etwas mehr macht kann da also locker ein ganzes Statement anhängen und somit deine Datenbank manipulieren.

robo47 · 19.05.2005, 10:25

soviel dazu :P

robo47 · 19.05.2005, 10:41

http://php-faq.de/q/q-security-variablen.html

http://php-faq.de/q/q-sicherheit-parameter.html

http://board.protecus.de/showtopic.php?threadid=9630

pit62 · 19.05.2005, 11:41

Zitat:

Zitat von Sakuraiel

Bei dir ist SQL-Injection möglich. Man braucht nur den Link etwas editieren und am Ende ein ' einfügen, schon kriegt man einen deftigen SQL-Error. Wer noch etwas mehr macht kann da also locker ein ganzes Statement anhängen und somit deine Datenbank manipulieren.

Dies sollte doch dannach eigentlich nicht mehr möglich sein? Oder

zb.:

Code:

$sqlBefehl = "select * from Tabelle where Nummer = "
           . $_POST["nummer"]
           . " and Passwort = \""
           . $_POST["passwort"]."\"";

19.05.2005, 11:54

Mit ; den Befehl abschliessen und einen neuen dran hängen ist aber möglich. - Den restlichen teil noch mit -- auskommentieren und fertig.

robo47 · 19.05.2005, 12:00

Zitat:

Zitat von Sakuraiel

Mit ; den Befehl abschliessen und einen neuen dran hängen ist aber möglich. - Den restlichen teil noch mit -- auskommentieren und fertig.

mysql_query ist aber soweit ich weis nicht multi-query fähig, sobald darin 2 mit ; seperiete query auftachen, streikt es odch oder?

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] Galerie Problem...	coraplanet	PHP Tipps 2008	4	06.06.2008 13:42
Sessions Problem	StephenKing	PHP Tipps 2008	3	16.10.2007 08:30
datensätze defekt oder problem mit dem einlesen?	Ministry	Datenbanken	4	06.07.2006 18:42
problem!!!		PHP Tipps 2006	6	08.02.2006 11:06
[Erledigt] wieder ein Problem bei phpmailer und smtp		PHP Tipps 2006	24	07.02.2006 01:07
[Erledigt] Problem bei Massenmails versenden mit der Funktion mail		PHP-Fortgeschrittene	3	19.01.2005 13:36
[Erledigt] Problem mit Übergabe einer Klasse in PHP4		PHP-Fortgeschrittene	10	08.01.2005 21:00
Problem mit Weiterleitung		PHP Tipps 2004-2	16	22.12.2004 17:49
Smarty und PHP-Skript Problem		PHP Tipps 2004-2	2	03.12.2004 22:27
[Erledigt] PHP Upload (Master Value/Local Value Problem)		PHP-Fortgeschrittene	5	23.11.2004 07:21
Problem mit alter JavaScript-Funktion	woods	PHP Tipps 2004	1	13.08.2004 13:34
[Erledigt] Problem mit Timestamp!		PHP Tipps 2004	24	08.06.2004 19:51
Login Problem		PHP Tipps 2004	4	04.06.2004 18:46
foreach problem	mAy^daY	PHP Tipps 2004	3	02.06.2004 20:29

19.05.2005, 08:46
pit62 Erfahrener Benutzer Registriert seit: 14.12.2003 Beiträge: 211	ein ganz delikates Problem ich habe ein ganz delikates Problem. Seit fast drei Jahren betreibe ich ein Besucher-Voting (Hp des Monats/Jahres) und hatte bisher nie Probleme. z.B. dieser Link wäre mal ein solcher : http://pcwagner.fanforum-deutschland...con62.surft.de Die abgegebene Stimme wird dann ausgewertet (Ip-Sperre usw.). die Stimme wird dann wenn kein Abbruch durch Auswertung in der Db gespeichert. Nun habe ich seit einigen Tagen das Problem,dass hier Unfug getrieben wird und ich komme nicht dahinter wie? Einmal waren alle Daten aus der Db gelöscht (was das Voting betrift andere Daten wurden nicht angetastet) dann wurden mehrmals die Stimmenanzahl verändert. Ist es eine Sicherheitslücke? Das Admin-Passwort habe ich des öfteren verändert somit denke ich dass das Problem hier nicht liegen kann. Da das Voting am laufen ist kann ich den Code im Moment nicht Posten. Hat jemand eine Idee, wie ich diese Sache feststellen und ggf.beseitigen kann? MfG


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

19.05.2005, 08:50
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	stichwort mysql-injection ? ehrlichgesagt, ohne code kann dir hier keiner weiterhelfen, weil keiner weis was du da verbrochen hast oder auch nicht. __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

19.05.2005, 09:26
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	sorry aber dir kann so keiner helfen, keine weis was du für scripte sonst benutzt, wo du noch fehler gemacht hast, was unsicher ist etc. ohne ne komplette code-einsicht in alles was auf dem space läuft wäre es nciht möglich zu sagen woher das ganze kommt und ich glaub nicht, dass das jemand für ohne geld macht :P __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

19.05.2005, 10:22
Gast Beiträge: n/a	Bei dir ist SQL-Injection möglich. Man braucht nur den Link etwas editieren und am Ende ein ' einfügen, schon kriegt man einen deftigen SQL-Error. Wer noch etwas mehr macht kann da also locker ein ganzes Statement anhängen und somit deine Datenbank manipulieren.

19.05.2005, 10:25
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	soviel dazu :P __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

19.05.2005, 10:41
robo47 Moderator Registriert seit: 03.09.2004 Beiträge: 11.792 PHP-Kenntnisse: Fortgeschritten	http://php-faq.de/q/q-security-variablen.html http://php-faq.de/q/q-sicherheit-parameter.html http://board.protecus.de/showtopic.php?threadid=9630 __________________ robo47.net - Blog, Codeschnipsel und mehr \| Caching-Klassen und Opcode Caches in php \| Robo47 Components - PHP Library extending Zend Framework

19.05.2005, 11:54
Gast Beiträge: n/a	Mit ; den Befehl abschliessen und einen neuen dran hängen ist aber möglich. - Den restlichen teil noch mit -- auskommentieren und fertig.