Abfrage für eine Suche-es geht um Sicherheit

[Act of Fate]

Hallo,

Also ich habe eine Suche mit PHP gebastelt, jetzt wollte ich fragen, ob es möglich wäre, dass ein user ins Formularfeld(Suchbegriff) einfach eine Abfrage reinschreibt, bsp. DELETE FROM tabelle WHERE usw..

Die Suche wird per SELECT gestartet, bsp. :SELECT * FROM tabelle WHERE keyword OR beschreibung LIKE'%$suchbegriff%';

Wenn jetzt als Suchbegriff die DELETE-Abfrage steht, ist es dann möglich das MySQL diese tatsächlich ausführt? oder wenn der user jetzt DROP table reinschreibt?

 

[melmager]

Jo ist möglich
sowas nennt sich Sql Injektion

 

[Rotzi Putzi]

Hi, wenn ein User "DELETE FROM" oder "DROP" in dein Suchfeld reinschreibt, dann wird deine Datenbank nach "DELETE FROM" oder "DROP" durchsucht.

Greez Rotzi

 

[Act of Fate]

Und wie macht man das mit der Injektion, kann die auch deaktivieren? Bitte um Tipps

 

[melmager]

Es müssen schlicht und einfach einige Specialchar aus dem Eingabestring
rausgeworfen werden

mysql_escape_string sollte den job machen


@Rotzi Putzi
so hatte ich auch mal gedacht - kannste ja mal googlen gehen da gibt es echte Sicherheitslücken :-(

 

[Act of Fate]

Könntest du mir das bitte etwas genauer erläutern, vielleicht anhand eines Beispiels? Wäre echt supernett von dir. aber irgendwie kommt es mir komisch vor, dass man ne komplette Abfrage reinschreiben kann.

Ich danke dir!

 

[melmager]

Na gut:
Das ist deine Abfrage:

SELECT * FROM tabelle WHERE keyword OR beschreibung LIKE'%$suchbegriff%';

Wenn ich im Suchfeld sowas reinschreibe:
x';show tables; #

Dann wird daraus:

SELECT * FROM tabelle WHERE keyword OR beschreibung LIKE'%x';show tables; #%';

ich beende deine select abfrage mit '; und hänge einen neuen Sqlbefehl hinten dran der narürlich auch ausgeführt wird

eine von 1000 antworten von tante google:
http://www.vbmysql.com/articles/sqlinjection.html

 

[Rotzi Putzi]

*lach* das Denken eines PHPanfängers ist doch immer das beste
Logisch ists ja, also musses auch tun *g*
waurm unterstützt dieses Board nicht t h x (zusammengeschrieben).
Greez rotzi

 

[Act of Fate]

Vielen Dank, so hab ich das bisher auch probiert, den alten Query beenden, neuen dranhängen.

Rotzi Putzi: Ich wollte mich nur mal vergewissern, odert passt dir das nicht?

 

[Rotzi Putzi]

Hab nichts gegen dich gesagt, sorry wenn du das so verstanden hast, aber ich denk zumindest meist so.
greez rotzi