✔ MySQL-Befehle in PHP

[Raisch]

Du kannst die Fehler auch gerne loggen, das ist ja vollkommen Dir überlassen.

 

[Alice]

Ich habe eben deinen Code ausprobiert und einen Fehler provoziert indem ich den Datenbank-Namen falsch eingetragen habe. Mit deinem Code wird ein etwas ausführlicher Fehlercode angezeigt wo auch dann der Datenbank-Name und der User-Name drin steht.

Ich weiss nicht genau aber ich halte das für eine kleine Sicherheitslücke.

 

[Raisch]

Wie gesagt, was Du mit der Fehlermeldung am Ende machst ist ja vollkommen Dir selbst überlassen.

Du kannst es auch in dieser Form machen:

$db = mysql_connect( 'Host', 'User', 'Passwort' ) or die (
    trigger_error( 'Error: ' . mysql_errno() . ' - ' . mysql_error(), E_USER_WARNING )
);
 
mysql_select_db( 'DB-Name', $db ) or die (
    trigger_error( 'Error: ' . mysql_errno( $db ) . ' - ' . mysql_error( $db ), E_USER_WARNING )
);

und loggst die Warnung in eine Datei:

ini_set( 'log_errors', 'On' );
ini_set( 'error_log', '/path/to/file/error.log' );

Gruß

//EDIT
Die Ausgabe der Errors solltest Du dann natürlich noch unterbinden:

ini_set( 'display_errors', 'Off' );

 

[Napofis]

...
Ich weiss nicht genau aber ich halte das für eine kleine Sicherheitslücke.

Ist es auch, die ausgegeben Informationen können Angreifer nutzen.

 

[Alice]

Siehste... Ich denke mit!

 

[Alice]

Ich habe mir das ganze mal etwas genauer angeschaut.

Ich habe eine PHP-Datei erstellt die von meinem Forum quasi als "eigene Seite" betrachtet wird. In dieser PHP-Datei wird das Back-End von vBulletin geladen. So wird es jedenfalls bei vBulletin erklärt. Durch ein Plug-In (Das Plug-In System in vBulletin kann man sich so ähnlich vorstellen wie eine PHP-Datei) wird dann mein Skript eingebunden.

Also: In die PHP-Datei wird das vBulletin Back-End und mein Skript geladen. Kann es sein das deswegen auch MySQL-Befehle ausgeführt werden ohne das man eigentlich eine DB-Verbindung aufbaut (Kein Host, User, Password, Datenbankname und auch kein Verbindungsaufbau)?

 

[timestamp]

Jenachdem was vBulletin da reinlädt kann alles mögliche passieren, auch MySQL-Aktionen.

 

[Alice]

Da wohl die Global.php eingebunden wird, gehe ich davon aus das sämtliche Funktionen geladen werden.