Hilfe bei Tabellenabfrage mit Like..... - Seite 2

David · 02.12.2008, 00:01

Kommt darauf an, was $buchstabe genau ist.
Testest Du irgendwo ab, dass es sich um genau ein Zeichen aus dem Bereich a-z (eventuell noch Ziffern und Umlaute) handelt?

Wolla · 02.12.2008, 12:28

Ich wollte das nicht noch komplizierter machen. Natürlich hast du recht - wir haben hier eine Usereingabe, und die ist gefälligst zu verifizieren:

PHP-Code:

  if ( $buchstabe ==  '' ) {
  $buchstabe = 'a';
}
$buchstabe = $buchstabe[0];
$abfrage = "SELECT * FROM wiki WHERE Begriff LIKE '" . $buchstabe . "%'";

David · 02.12.2008, 12:35

Wenn da keine weiteren Maßnahmen eingebaut sind, kann ich immer noch die Abfrage zusammenbrechen lassen durch ein einzelnes '

Code:

SELECT * FROM wiki WHERE Begriff LIKE ''%'

Oder alle Einträge abrufen mit %

Code:

SELECT * FROM wiki WHERE Begriff LIKE '%%'

Beides nicht unbedingt dramatisch schlimm, aber ...

nikosch · 02.12.2008, 14:32

oder

Zitat:

' OR 1=1 OR '

David · 02.12.2008, 14:45

Das wird ja schon durch

Zitat:

$buchstabe = $buchstabe[0];

entschärft.

nikosch · 02.12.2008, 14:53

Stimmt. Aber nicht wirksam. Bliebe noch diese Möglichkeit:

Zitat:

?buchstabe[]=' OR 1=1 OR '&buchstabe[]=

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
abfrage nach mehreren filtern	ketchup	PHP Tipps 2008	26	26.08.2008 14:50
MySQL: Like, Umlaute und was sonst noch passiert	PsychoEagle	Datenbanken	4	01.08.2008 18:36
komplizierte SQL-Abfrage	keinplanvonnix	PHP Tipps 2008	3	23.04.2008 15:42
mysql problem mit LIKE und AND	kazuya	Datenbanken	10	29.10.2007 21:36
UTF8 Dump erzeugt nach import in UTF8 kod DB falsche Umlaute	Carino	Datenbanken	18	07.05.2007 23:49
Abfrage mit NOT LIKE funktioniert nicht wirklich	PsychoEagle	Datenbanken	6	26.09.2006 11:45
LIKE und Suche nach Escape-Sequenzen	bicpi	Datenbanken	0	20.09.2006 13:39
Abfrage mit LIKE (nur verkehrt rum :D)	PsychoEagle	Datenbanken	3	09.08.2006 16:52
Unterschied <> und NOT LIKE	PsychoEagle	Datenbanken	6	08.08.2006 13:22
Such-Statement-Problem	Timo Trallala	Datenbanken	1	22.07.2006 13:48
Hilfe ich find keinen Fehler mehr...	GELight	Datenbanken	2	01.05.2006 23:33
SOUNDS LIKE, SOUNDEX und LIKE	ClaBo3	Datenbanken	10	23.03.2006 22:17
[Erledigt] HILFE HILFE HILFE mysqladmin.exe fehlt		Datenbanken	7	20.12.2005 14:00
Abfrage von mehreren Werten mit Hilfe von LIKE?		PHP Tipps 2005-2	4	12.09.2005 19:19
Diskussion zu Tutorial MySQL-Datenbank durchsuchen	Guradia	Off-Topic Diskussionen	9	22.10.2004 19:45

02.12.2008, 00:01
David Erfahrener Benutzer Registriert seit: 05.09.2007 Beiträge: 5.044	Kommt darauf an, was $buchstabe genau ist. Testest Du irgendwo ab, dass es sich um genau ein Zeichen aus dem Bereich a-z (eventuell noch Ziffern und Umlaute) handelt?


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

02.12.2008, 12:28
Wolla Moderator Registriert seit: 06.06.2008 Beiträge: 4.945 PHP-Kenntnisse: Fortgeschritten	Ich wollte das nicht noch komplizierter machen. Natürlich hast du recht - wir haben hier eine Usereingabe, und die ist gefälligst zu verifizieren: PHP-Code: `if ( $buchstabe == '' ) { $buchstabe = 'a'; } $buchstabe = $buchstabe[0]; $abfrage = "SELECT * FROM wiki WHERE Begriff LIKE '" . $buchstabe . "%'";` __________________ Warum denkt mein Hund eigentlich immer dann, wenn es an der Tür klingelt, es sei für ihn?

02.12.2008, 12:35
David Erfahrener Benutzer Registriert seit: 05.09.2007 Beiträge: 5.044	Wenn da keine weiteren Maßnahmen eingebaut sind, kann ich immer noch die Abfrage zusammenbrechen lassen durch ein einzelnes ' Code: SELECT * FROM wiki WHERE Begriff LIKE ''%' Oder alle Einträge abrufen mit % Code: SELECT * FROM wiki WHERE Begriff LIKE '%%' Beides nicht unbedingt dramatisch schlimm, aber ...