[Erledigt] HTML/mySQL Injectionaus Textfeld abfangen

Hyphon · 08.10.2008, 19:10

Hallo!

Ich habe vielleicht nicht richtig gesucht, aber ich hätte da mal eine Frage bezüglich das Abfangen von HTML und mySQL Injections in Textfeldern.

Ich will gerne für eine Seite eine Shoutbox und ein Gästebuch schreiben.
Zum einen zum Üben, zum anderen wegen der Anpassbarkeit an die Seite.

Nun würde ich gerne aber gerne per PHP verhindern, dass HTML Code und mySQL Befehle einfach so weitergeleitet werden.

Gibt's da eine Möglichkeit, das sauber und schnell zu erledigen?

Gruß

Hyphon

Young Jedi · 08.10.2008, 19:16

HTML: z.B. htmlspecialchars()
SQL-Injection: mysql_real_escape_string()

Bei SQL-Injection allerdings noch aufpassen, ob magic_quotes angeschaltet sind - sonst wird das ganze doppelt gemoppelt

Und es müssen immer prinzipiell alle Eingaben des Benutzers überprüft werden, also nicht nur die Eingabe im Textfeld.

serious-cool · 08.10.2008, 19:29

Hallo,

ich hab da vor einiger zeit eine gute funktion im inet gefunden:

PHP-Code:

  function makeSave($usereingabe){
     if(get_magic_quotes_gpc()) {
         $usereingabe = stripslashes($usereingabe);
     }
     $usereingabe = htmlentities($usereingabe);
     $usereingabe= mysql_real_escape_string($usereingabe);
     return $usereingabe;
}

mit kannst du die formular eingaben recht gut absichern:

PHP-Code:

  $text = $_POST['input'];
$text=makeSave($text);

Hoffe das hilft dir weiter.

Hyphon · 08.10.2008, 20:27

Hey! Danke euch beiden!

Aber kurze Frage aus lauter Faulheit!

Was passiert mit den Strings? Werden die HTML markups einfach aus dem String gelöscht und mySQL nur auskommentiert?

nikosch · 08.10.2008, 22:48

Nur aus Faulheit: Schau doch selber nach. Z.B. im Manual...

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Textfeld komplett makieren onclick?	sanz	JavaScript, Ajax und mehr	5	31.03.2010 20:32
\r\n und Probleme mit dem Textfeld und nl2br	BartTheDevil89	PHP Tipps 2008	21	20.07.2008 00:33
[Erledigt] Formatierung im Textfeld per Formular mit übergeben	PlanLos23	PHP Tipps 2008	2	25.06.2008 09:05
"[code]" automatisch ins textfeld einfuegen	Dilandau	HTML, Usability und Barrierefreiheit	14	23.01.2007 20:10
Wert aus Textfeld in neues Formular übernehmen (kein Submit)	PsychoEagle	HTML, Usability und Barrierefreiheit	9	02.01.2007 14:51
javascript: zeichen in textfeld	Sclot	HTML, Usability und Barrierefreiheit	3	03.01.2006 15:50
Textbausteine in ein Textfeld einfügen?	Bruno	PHP Tipps 2005-2	13	01.08.2005 13:50
[Erledigt] Eingabe in Textfeld A, Ausgabe Textfeld B wie?		HTML, Usability und Barrierefreiheit	2	01.06.2005 18:09
wie kann ich mit php in einem textfeld reinschreiben		PHP Tipps 2005	2	09.03.2005 19:19
Textfeld mit vielen Werten	Simon9990	PHP Tipps 2004-2	2	23.12.2004 16:28
Textfeld um eine varchar oder Textfeld ergänzen		Datenbanken	0	06.10.2004 15:32
[Erledigt] Von textfeld in .txt Datei		HTML, Usability und Barrierefreiheit	4	22.09.2004 22:33
quelltext in textfeld laden?		HTML, Usability und Barrierefreiheit	2	17.06.2004 09:23
Zeilenumbruch in Textfeld!	Broadcast	PHP Tipps 2004	2	03.06.2004 12:38
[Erledigt] Textfeld wieder löschen		PHP Tipps 2004	10	03.06.2004 11:29

08.10.2008, 19:10
Hyphon Neuer Benutzer Registriert seit: 08.10.2008 Beiträge: 2	[Erledigt] HTML/mySQL Injectionaus Textfeld abfangen Hallo! Ich habe vielleicht nicht richtig gesucht, aber ich hätte da mal eine Frage bezüglich das Abfangen von HTML und mySQL Injections in Textfeldern. Ich will gerne für eine Seite eine Shoutbox und ein Gästebuch schreiben. Zum einen zum Üben, zum anderen wegen der Anpassbarkeit an die Seite. Nun würde ich gerne aber gerne per PHP verhindern, dass HTML Code und mySQL Befehle einfach so weitergeleitet werden. Gibt's da eine Möglichkeit, das sauber und schnell zu erledigen? Gruß Hyphon


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

08.10.2008, 19:16
Young Jedi Erfahrener Benutzer Registriert seit: 19.05.2008 Beiträge: 612 PHP-Kenntnisse: Fortgeschritten	HTML: z.B. htmlspecialchars() SQL-Injection: mysql_real_escape_string() Bei SQL-Injection allerdings noch aufpassen, ob magic_quotes angeschaltet sind - sonst wird das ganze doppelt gemoppelt Und es müssen immer prinzipiell alle Eingaben des Benutzers überprüft werden, also nicht nur die Eingabe im Textfeld. __________________ http://tippsgegenlangeweile.de

08.10.2008, 19:29
serious-cool Erfahrener Benutzer Registriert seit: 12.09.2008 Beiträge: 154 PHP-Kenntnisse: Fortgeschritten	Hallo, ich hab da vor einiger zeit eine gute funktion im inet gefunden: PHP-Code: `function makeSave($usereingabe){ if(get_magic_quotes_gpc()) { $usereingabe = stripslashes($usereingabe); } $usereingabe = htmlentities($usereingabe); $usereingabe= mysql_real_escape_string($usereingabe); return $usereingabe; }` mit kannst du die formular eingaben recht gut absichern: PHP-Code: `$text = $_POST['input']; $text=makeSave($text);` Hoffe das hilft dir weiter. __________________ Ein Klauenhammer ist kein Schraubendreher, auch wenn beide das Problem ,,Schraube-Wand" bidirektional lösen können.

08.10.2008, 20:27
Hyphon Neuer Benutzer Registriert seit: 08.10.2008 Beiträge: 2	Hey! Danke euch beiden! Aber kurze Frage aus lauter Faulheit! Was passiert mit den Strings? Werden die HTML markups einfach aus dem String gelöscht und mySQL nur auskommentiert?

08.10.2008, 22:48
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.988 PHP-Kenntnisse: Fortgeschritten	Nur aus Faulheit: Schau doch selber nach. Z.B. im Manual... __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --