Pimbolie1979

Hi @ all

Ich habe folgenden Quellcode gefunden:

if(get_magic_quotes_gpc())
{
array_stripslashes($_GET);
array_stripslashes($_POST);
array_stripslashes($_COOKIE);
}


Ist es dadurch möglich Injectionszu verhindern?

__________________
www.Gastgeber-Deutschland.de

Mister Ad

David

Injunctions sind gerichtliche Verfügungen.
Du meinst Injections, Injektionen.

Und nein, der Code macht nur ein fehlgeleitetes Feature (schon zum Thema injections, aber eben Schrott) von PHP rückgängig (was array_stripslashes genau macht, wissen wir ohne den Code der Funktion oder einer Beschreibung nicht, aber dem Namen nach...)

Was suchst Du genau?

Pimbolie1979

Ich möchte verhindern, das jemand meine Datenbank manipuliert, indem er in einer Textbox Befehle sendet, die dann unerlaubt Daten ändert.

__________________
www.Gastgeber-Deutschland.de

David

Für (fast) jede Datenbankerweiterung findest Du eine spezialisierte Funktion, deren einzige Aufgabe es ist, Steuerzeichen zu maskieren.
Für mysql ist das mysql_real_escape_string, für mysqli mysqli::real_escape_string, für postgresql pg_escape_string usw usw

Oder Du verwendest prepared statements und die dazugehörigen bind-Funktionen. Beispiele mit PDO findest Du unter PHP: Prepared statements and stored procedures - Manual

HStev

Nicht zu vergessen die Filter Funktions (PHP: filter_input - Manual) seit PHP 5.2.0 ... wodurch sich die User eingaben auch noch direkt validieren lassen.

__________________
Gewisse Dinge behält man besser für sich, z.B. das man gewisse Dinge für sich behält.

cycap

Das Thema ist alles andere als fortgeschrittene Programmierung, das sind Grundlagen, dehalb

verschoben

David

Das eignet sich aber nicht als Ersatz für die escape_string-Funktionen. Validierung und transport encoding sind zwei unterschiedliche Sachen.

PsychoEagle

Hier ein paar Lösungsvorschläge bzw. Beispiele

SQL-Injection – Wikipedia

__________________
"Weaseling out of things is important to learn. It's what separates us from the animals ... except the weasel." (Homer J. Simpson)

HStev

deshalb hab ich nicht zu vergessen geschrieben

__________________
Gewisse Dinge behält man besser für sich, z.B. das man gewisse Dinge für sich behält.

HStev

Prepared Statements bedeutet nicht das diese Injectionssave sind ... ne sinnvolle validierung oder escapen wäre auch hier angebracht

__________________
Gewisse Dinge behält man besser für sich, z.B. das man gewisse Dinge für sich behält.