Frage zu Sicherheit von mySQL

[cornflakes4747]

Hiho.
Die Frage richtet sich an die unter euch, die Ahnung von php und mySQL haben.
Folgendes: Ich habe auf meiner Seite (die noch nicht online ist) ein selbstprogrammiertes Forum und Gästebuch.
Jetzt habe ich vor kurzem einen Artikel über mySQL-Injections gelesen und habe gleich mal bei mir ausprobiert, ob meine Seite auch unsicher ist.
Ich habe es nicht geschafft, durch Formulareingaben wie '; drop table user -- etc. irgendetwas zu erreichen. jetzt bin ich mir aber nicht sicher, ob das nur daran liegt, dass ich schwachsinn eingegeben habe, oder ob meine Seite tatsächlich sicher ist.
Ich habe irgendwo was gelesen dass das auch mit der Einstellung magic-quotes-irgendwas=on zusammenhängt und ich mit dieser Einstellung nicht noch extra addslashes() ausführen muss bevor ich daten in die datenbank schreibe.
Wisst ihr da irgendwas drüber?
Im Voraus danke.

 

[SebiB90]

Hiho.
Die Frage richtet sich an die unter euch, die Ahnung von php und mySQL haben.
Folgendes: Ich habe auf meiner Seite (die noch nicht online ist) ein selbstprogrammiertes Forum und Gästebuch.
Jetzt habe ich vor kurzem einen Artikel über mySQL-Injections gelesen und habe gleich mal bei mir ausprobiert, ob meine Seite auch unsicher ist.
Ich habe es nicht geschafft, durch Formulareingaben wie '; drop table user -- etc. irgendetwas zu erreichen. jetzt bin ich mir aber nicht sicher, ob das nur daran liegt, dass ich schwachsinn eingegeben habe, oder ob meine Seite tatsächlich sicher ist.
Ich habe irgendwo was gelesen dass das auch mit der Einstellung magic-quotes-irgendwas=on zusammenhängt und ich mit dieser Einstellung nicht noch extra addslashes() ausführen muss bevor ich daten in die datenbank schreibe.
Wisst ihr da irgendwas drüber?
Im Voraus danke.

ich bin anscheind nicht der einzige der zu doof dafür ist
ich hab glaub ich das gleiche wie du gelesen und ich hab es auch nicht hinbekommen.ich wär mal ankbar wenn mir jemand sagen würde wie man so daten löschen kann damit ich das verhindern kann.

 

[cornflakes4747]

Das is ja schön. dann sind wir ja schon zu zweit
Aber ich befürchte schon fast dass alle halbwegs vernünftigen Leute am Samstag abend was anderes zu tun haben

Naja vielleicht antwortet ja mal jemand der der Internetsucht schon so weit verfallen ist dass er nicht unterwegs ist...

 

[cornflakes4747]

Schieb*
Vielleicht ist ja inzwischen jemand da der eine Antwort weiß...

 

[marky68]

Hiho.
Die Frage richtet sich an die unter euch, die Ahnung von php und mySQL haben.
Folgendes: Ich habe auf meiner Seite (die noch nicht online ist) ein selbstprogrammiertes Forum und Gästebuch.
Jetzt habe ich vor kurzem einen Artikel über mySQL-Injections gelesen und habe gleich mal bei mir ausprobiert, ob meine Seite auch unsicher ist.
Ich habe es nicht geschafft, durch Formulareingaben wie '; drop table user -- etc. irgendetwas zu erreichen. jetzt bin ich mir aber nicht sicher, ob das nur daran liegt, dass ich schwachsinn eingegeben habe, oder ob meine Seite tatsächlich sicher ist.
Ich habe irgendwo was gelesen dass das auch mit der Einstellung magic-quotes-irgendwas=on zusammenhängt und ich mit dieser Einstellung nicht noch extra addslashes() ausführen muss bevor ich daten in die datenbank schreibe.
Wisst ihr da irgendwas drüber?
Im Voraus danke.

jede variable, die vom nutzer irgendwie manipuliert werden KANN, ueberpruefen, bevor man sie einsetzt

 

[skicu]

[...] damit ich das verhindern kann.

bevor eine variable in eine db geschrieben wird, die der user in irgendeiner art und weise beeinflussen kann, einfach addslashes() über die variable laufen lassen.

 

[cornflakes4747]

jede variable, die vom nutzer irgendwie manipuliert werden KANN, ueberpruefen, bevor man sie einsetzt

Vielleicht hab ich mich nicht klar genug ausgedrückt.
Wenn ich nur Optionen anbiete, kann ich natürlich überprüfen, ob die Variable tatsächlich einer der Möglichkeiten entspricht.
Aber hier geht es um einen Text, z.B. Gästebucheintrag, den der Benutzer selber eingeben kann.
Die Möglichkeit mit addslashes ist mir bekannt. Aber aus irgendeinem Grund kann ich auch ohne addslashes keine Dummheiten machen.
Ich wollte nur wissen, ob ich einfach nur das falsche ausprobiert habe oder ob mein script tatsächlich schon sicher ist.
Dazu hab ich mal etwas von einer Einstellung namens "magic-quotes-gpc" gelesen, die angeblich automatisch solche böswilligen Eingaben entschärft. Mich interessiert einfach, ob das schon reicht um mich vor SQL-Injections zu schützen.

 

[skicu]

Vielleicht hab ich mich nicht klar genug ausgedrückt.
Wenn ich nur Optionen anbiete, kann ich natürlich überprüfen, ob die Variable tatsächlich einer der Möglichkeiten entspricht.
Aber hier geht es um einen Text, z.B. Gästebucheintrag, den der Benutzer selber eingeben kann.
Die Möglichkeit mit addslashes ist mir bekannt. Aber aus irgendeinem Grund kann ich auch ohne addslashes keine Dummheiten machen.
Ich wollte nur wissen, ob ich einfach nur das falsche ausprobiert habe oder ob mein script tatsächlich schon sicher ist.
Dazu hab ich mal etwas von einer Einstellung namens "magic-quotes-gpc" gelesen, die angeblich automatisch solche böswilligen Eingaben entschärft. Mich interessiert einfach, ob das schon reicht um mich vor SQL-Injections zu schützen.

Einfach nachsehen ist schon verdammt schwer. magic quotes gpc ist vereinfacht gesagt automatisiertes addslashes() für alle get, post und cookie daten.

edit: diese option ist übrigens standardmäßig angeschalten in php.
deswegen entferne ich die escapes auch manuell in jedem meiner scripte. ich will schließlich volle kontrolle darüber, was escaped ist und was nicht.

 

[marky68]

ich will schließlich volle kontrolle darüber, was escaped ist und was nicht.

na warte du, das hat das ******SYSTEM******** gehoert

 

[cornflakes4747]

ach da hat ja jemand geantwortet
Ich bin aber auch bescheuert. ich reg mich auch dauernd über leute auf die nichmal bei google suchen und weißt du was? ich war so verbohrt dass ich nich nach magic-quotes-gpc gesucht hab. nur nach addslashes, mysql+sicherheit, mysql-injections+verhindern und sowas. naja dankeschön trotzdem.

 

[skicu]

ach da hat ja jemand geantwortet
Ich bin aber auch bescheuert. ich reg mich auch dauernd über leute auf die nichmal bei google suchen und weißt du was? ich war so verbohrt dass ich nich nach magic-quotes-gpc gesucht hab. nur nach addslashes, mysql+sicherheit, mysql-injections+verhindern und sowas. naja dankeschön trotzdem.

hehe.
kleiner tipp:
de.php.net/* is der beste anlaufpunkt für fragen zu php

*) wo der stern steht, kann man eingeben was man will - die seite sucht dann automatisch nach der passendsten seite (referenz, funktionsbeschreibung etc.)

 

[marky68]

*) wo der stern steht, kann man eingeben was man will - die seite sucht dann automatisch nach der passendsten seite (referenz, funktionsbeschreibung etc.)

oder einfach nur php.net/*

...wenn der browser im user_agent die sprache mitsendet.

 

[cornflakes4747]

jo donka. damit is alles klar und ich bin zufrieden