Wann genau sind Injections möglich?

[Gast]

Wie der Titel bereits sagt, würde ich gerne wissen, wann genau Injections möglich sind. Ich habe jegliche Datenbankabfragen die Usereingaben enthalten mit mysql_real_escape_string escaped und Ausgaben zusätzlich noch mit htmlentities. Ist das sicher genug? Und könnte beispielsweise hier

SELECT * FROM user WHERE bann = '1' ORDER BY id DESC LIMIT 15 

Auch eine Injection möglich sein? Ich danke für Antworten!

[hausl]

http://php-de.github.io/jumpto/sql-injection/ . Im Grunde ist der "Kontextwechsel" die "Wurzel des Bösen".

Und zu SELECT * hier noch: http://php-de.github.io/jumpto/code-smells/#select-

LG

[Tropi]

Und falls du die Antwort auf dein Beispiel da oben nicht findest:

Es ist zu empfehlen, jeden variablen Wert, der in Query-Strings eingefügt wird, durch die passende Escape-Funktion zu schicken.

=> Du hast keine variablen Werte, ergo auch nicht anfällig.

[hausl]

SELECT * FROM user WHERE bann = '1' ORDER BY id DESC LIMIT 15 

Übrigens.. warum ist 1 bei dir als String angegeben? Wenn bann 0 oder 1 sein kann (quasi true oder false) dann verwendet doch den Typ TINYINT mit 0 oder 1 als Zahl. Nur weils mir gerade aufgefallen ist

[tkausl]

Und um auf dem neusten Stand zu sein solltest du auf PDO und Prepared-Statements umsteigen, dadurch kannst du dir das escapen sparen und bist trotzdem abgesichert.

[Fleischkeule]

Zusätzlich sollte dein Motto sein, vertraue niemanden, auch nicht deinen Benutzern. NIE

[alxy]

Übrigens, das zusätzliche escapen mittels htmlentities() ist nicht nötig um SQL-Injections zu verhinden. (Das macht deine Daten unter Umständen sogar kaputt)

[hausl]

und Ausgaben zusätzlich noch mit htmlentities

htmlentities() für Ausgaben ist ok.
Und mysql_real_escape_string() für Eingaben die du in deiner query an die DB schickst.

Siehe http://php-de.github.io/jumpto/kontextwechsel/ das ist im Grunde das Ganze Thema worum es bei dem escapen geht.

Und den Post #5 beachten, die mysql_ Erweiterung sollte man gar nciht mehr verwenden, die fliegt bald komplett aus PHP raus. Siehe: http://php.net/manual/en/migration55.deprecated.php