[Erledigt] Frage bezüglich MySQL Injections

[Forumsgast]

Guten Tag,

ich bin gerade dabei mich das erste mal richtig mit Datenbanken auseinanderzusetzen und da brachte es die Frage auf was ich nun eigentlich real escapen muss und was nicht.

Bei Passwörtern und Vertrautem habe ich bereits mysql_real_escape_string benutzt, doch was kann ich außerdem noch gegen Injections machen um diese zu verhindern und müssen Dinge wie ein Text, ein Username, eine ID etc. auch gereal escaped werden?

[meikel]

Bei Passwörtern und Vertrautem habe ich bereits mysql_real_escape_string benutzt, doch was kann ich außerdem noch gegen Injections machen um diese zu verhindern und müssen Dinge wie ein Text, ein Username, eine ID etc. auch gereal escaped werden?

Ja. Alle Strings müssen escaped werden und bei allen numerischen Werten müssen ' und " ausgeschlossen werden. Am Einfachsten prüfst Du, ob alle Zeichen Ziffern darstellen. Falls erlaubt: 1 Dezimalpunkt und ggf 1 E (bei float). Alles andere muß in die Tonne gelatscht werden. Hilfreich dabei ist das sogenannte Affenformular:

Von HTML zu PHP: Schreibe Formularverarbeitungen in Normalform
http://www.php-faq.de/q-stil-normalform.html

[Forumsgast]

Gegen (My)SQL Injections gibt es ein paar hilfreiche Dinge:

mysql_real_escape_string() -> Zeichenketten
ctype_digit() und (int)$_GET['zahl'] -> Ganzzahlen
is_numeric() und (float)$_GET['zahl'] -> Zahlen

Am hilfreichsten sind dennoch diesbezüglich Prepared Statements.

[Forumsgast]

Und vergiss nie... NEVER TRUST USER INPUT!

[Forumsgast]

Das Thema wurde bereits hinreichend behandelt. Bitte benutze die Forensuche und beachte diesen Thread!


[MOD: Thread geschlossen]