Sicherheit bei MySQL / SQL-Injection

[mcchaos]

Hallo!

Ich verwende schon länger MySQL im LAN, jedoch nun zum ersten Mal auf einem Webserver in einem Hosting-Paket. Welche Sicherheitsmaßnahmen muß ich beachten?

Im Prinzip kann der Datenbankserver doch sowie nicht von "außen" angesprochen werden (SSH gibts nicht), sondern nur über das beim Hoster installiert PHPAdmin. Darüber muß ich mir wohl keine Gedanken machen - oder?.

Nun sind dann in den entsprechenden PHP-Scripten das Passwort ja auch immer mit drin - geht wohl nicht anders, erscheint aber auch nicht schlimm - oder?

Ansonsten müßte ich halt aufpassen, dass mir niemand über ein Formular einen SQL-Befehl unterjubelt - wie mache ich das am besten, um alle Fälle anzudecken?

Wars das schon, oder habe ich was vergessen?

[axelm]

Mysql Handbuch Sicherheit
in G. suchen, dito php Sicherheit

[mcchaos]

Okay, habe mich nun damit beschäftigt. Eigentlich muß man ja nur sehen, dass alles was von "außen" kommt (Formular-Einträge, Query-Strings, URLs usw) und irgendwie in einem SQL-Statement verwurschtelt wird mit mysql_escape_string "entschärft" wird. Oder habe ich noch was übersehen?

[joghurtKULTUR]

am besten nutzt du mysql_real_escape_string()

[Hobby-SEO]

Halli hallo,

hätte jemand von Euch Lust, sich ein kurzes Kontaktformular-Script für phpbb anzusehen und hinsichtlich der Sicherheit vor SQL-Injection zu bewerten?

mysql_real_escape_string() wird darin nicht verwendet. Ich wüsste auch nicht, wie und wo das zu integrieren wäre - und ob es im Falle dieses Scripts überhaupt notwendig wäre.

Das php-Script ist, als .txt-Datei abgespeichert, hier zu finden: https://www.sendspace.com/file/ah02fv

Es ist übrigens eine Modifikation von folgendem Mod, nur dass keine E-Mails versandt werden sondern die Kontaktanfragen ausschließlich in die phpbb-Datenbank geschrieben werden: https://www.phpbbhacks.com/download/3096

Es wäre schon hilfreich zu erfahren, ob ich mir um die Sicherheit der Datenbank meines phpbb-Boards Sorgen machen sollte...

LG und ein schönes Wochenende Euch allen!
Hobby-SEO

[marc75]

mysql_real_escape_string() wird darin nicht verwendet. Ich wüsste auch nicht, wie und wo das zu integrieren wäre - und ob es im Falle dieses Scripts überhaupt notwendig wäre.

Code: Alles auswählen

	mysql_query("INSERT 
		INTO tabelle_text 
			(text1, 
			text2) 
			VALUES 
			('".mysql_escape_string($_POST['text1'])."', 
			'".mysql_escape_string($_POST['text2'])."')");

je nach PHP Versionsnummer mysql_escape_string() oder mysql_real_escape_string()

$_POST[] ruhig vorher noch mit if(isset()) oder empty() prüfen.

[Hobby-SEO]

@marc75:

Danke Dir vielmals für die Anregungen! Wäre ja gelacht, wenn wir es früher oder später nicht schaffen würden, eines der sichersten Kontaktformulare hinzubekommen.

LG, Hobby-SEO