Seite 1 von 1
Sicherheit bei MySQL / SQL-Injection
Verfasst: 24.10.2005, 13:46
von mcchaos
Hallo!
Ich verwende schon länger MySQL im LAN, jedoch nun zum ersten Mal auf einem Webserver in einem Hosting-Paket. Welche Sicherheitsmaßnahmen muß ich beachten?
Im Prinzip kann der Datenbankserver doch sowie nicht von "außen" angesprochen werden (SSH gibts nicht), sondern nur über das beim Hoster installiert PHPAdmin. Darüber muß ich mir wohl keine Gedanken machen - oder?.
Nun sind dann in den entsprechenden PHP-Scripten das Passwort ja auch immer mit drin - geht wohl nicht anders, erscheint aber auch nicht schlimm - oder?
Ansonsten müßte ich halt aufpassen, dass mir niemand über ein Formular einen SQL-Befehl unterjubelt - wie mache ich das am besten, um alle Fälle anzudecken?
Wars das schon, oder habe ich was vergessen?
Sicherheit bei MySQL / SQL-Injection
Verfasst: 24.10.2005, 14:44
von axelm
Mysql Handbuch Sicherheit
in G. suchen, dito php Sicherheit
Sicherheit bei MySQL / SQL-Injection
Verfasst: 01.12.2005, 15:55
von mcchaos
Okay, habe mich nun damit beschäftigt. Eigentlich muß man ja nur sehen, dass alles was von "außen" kommt (Formular-Einträge, Query-Strings, URLs usw) und irgendwie in einem SQL-Statement verwurschtelt wird mit mysql_escape_string "entschärft" wird. Oder habe ich noch was übersehen?
Sicherheit bei MySQL / SQL-Injection
Verfasst: 01.12.2005, 16:26
von joghurtKULTUR
am besten nutzt du mysql_real_escape_string()
Verfasst: 02.12.2005, 11:41
von Hobby-SEO
Halli hallo,
hätte jemand von Euch Lust, sich ein
kurzes Kontaktformular-Script für phpbb anzusehen und hinsichtlich der Sicherheit vor SQL-Injection zu bewerten?
mysql_real_escape_string() wird darin nicht verwendet. Ich wüsste auch nicht, wie und wo das zu integrieren wäre - und ob es im Falle dieses Scripts überhaupt notwendig wäre.
Das php-Script ist, als .txt-Datei abgespeichert, hier zu finden:
https://www.sendspace.com/file/ah02fv
Es ist übrigens eine Modifikation von folgendem Mod, nur dass keine E-Mails versandt werden sondern die Kontaktanfragen ausschließlich in die phpbb-Datenbank geschrieben werden:
https://www.phpbbhacks.com/download/3096
Es wäre schon hilfreich zu erfahren, ob ich mir um die Sicherheit der Datenbank meines phpbb-Boards Sorgen machen sollte...
LG und ein schönes Wochenende Euch allen!
Hobby-SEO
Verfasst: 02.12.2005, 12:12
von marc75
mysql_real_escape_string() wird darin nicht verwendet. Ich wüsste auch nicht, wie und wo das zu integrieren wäre - und ob es im Falle dieses Scripts überhaupt notwendig wäre.
Code: Alles auswählen
mysql_query("INSERT
INTO tabelle_text
(text1,
text2)
VALUES
('".mysql_escape_string($_POST['text1'])."',
'".mysql_escape_string($_POST['text2'])."')");
je nach PHP Versionsnummer mysql_escape_string() oder mysql_real_escape_string()
$_POST[] ruhig vorher noch mit if(isset()) oder empty() prüfen.
Sicherheit bei MySQL / SQL-Injection
Verfasst: 02.12.2005, 12:44
von Hobby-SEO
@marc75:
Danke Dir vielmals für die Anregungen! Wäre ja gelacht, wenn wir es früher oder später nicht schaffen würden, eines der sichersten Kontaktformulare hinzubekommen.
LG, Hobby-SEO
