SQL-Injection?

[severus]

Ich beschäftige mich im Moment mit Webdesign und hab dabei gelesen, dass ich mich vor SQL-Injections schützen muss... Wie erkenne ich denn so eine Injection und was kann amn da machen?

Grüße, severus

[derhoesel]

Hallo erstmal und herzlich willkommen im Forum.

Unter einer SQL-Injection versteht man das ausführen von fremdem Code, der ohne dein Wissen, aber durch ein Script von dir, das z.B. eigentlich Informationen aus einer Datenbank auslesen soll, in deiner Datenbank ausgeführt wird.

Du schreibst, du beschäftigst dich mit Webdesign... Meinst du damit reines HTML/CSS oder programmierst du was dynamisches mit PHP/MySQL? Wenn du nämlich keine Datenbank verwendest, brauchst du auch keine Angst vor SQL-Injections zu haben.

Das Stichwort zum Schutz vor SQL-Injections lautet (bei PHP/MySQL) mysql_real_escape_string().
_________________
Mein PC bei PCadept

[severus]

Danke für die schnelle Antwort
Ich meinte Webprogrammierer, also schon mit PHP/MySQL... Bin aber eben totaler anfänger.

Also wenn ich das mit mysql_real_escape_string richtig verstanden habe, muss ich das auf die Daten, die ich in die Datenbank eintrage anwenden. Aber wie mach ich das genau? muss ich das auf jede variable anwenden oder einfach auf die ganze anweisung?

Grüße, severus

[derhoesel]

Ok, wollte ich nur wissen.

Also: du musst die Funktion auf jede übergebene Variable anwenden, die was mit der Datenbank zu tun hat. Den Befehl auf die ganze Abfrage anzuwenden ist ne ganz schlechte Idee, schließlich maskiert er ja Anweisungen, so dass sie nicht ausgeführt werden...

Ein kleines Beispiel (simple Passwortabfrage - gegeben eine Tabelle benutzer mit Feldern username und passwort)

Der Standard-Abfrage, um zu schauen, ob ein Nutzer da ist, auf den die übergebenen Werte zutreffen - ohne mysql_real_escape_string():