[sicherheit] tutorial bewerten

[stun]

holla!

ich hätte einfach mal gerne gewusst was ihr von diesem tutorial haltet:
http://www.f078.net/t_pm_0002.php

ich habe das script schon eingebaut und alles funktioniert gut, aber mich würde die meinung von profis interessieren ob das script wirklich einwandfreien schutz bietet.

greetz
stun

[kapitaeniglo]

also nach einem kurzem blick :

lobenswert die verwendung von $_POST und $_SESSION , allerdings :
werden die $_POST-Variablen vor der Benutzung nicht noch einmal geprüft und der html-kram strip_tags darauf ausgeführt, was ich zumindestens machen würde ....

gruss
iglo

[asp2php]

IMHO schlecht, weil kein Schutz gegen SQL-Injektion, s.

$cdb->select("select id from user where name = '".$_POST["user"].
"' && password = '".md5($_POST["password"])."'"); 

[stun]

Original geschrieben von asp2php
IMHO schlecht, weil kein Schutz gegen SQL-Injektion, s.

$cdb->select("select id from user where name = '".$_POST["user"].
"' && password = '".md5($_POST["password"])."'"); 

wie würdest du die abfrage stattdessen gestalten? oder genügt es die variablen zuvor auf semikolons zu checken?

was ist mit der allgemeinen sicherheit? also der logische aufbau des scripts, ganz abgesehen von injections.

[webstar85]

Original geschrieben von stun
wie würdest du die abfrage stattdessen gestalten? oder genügt es die variablen zuvor auf semikolons zu checken?

was ist mit der allgemeinen sicherheit? also der logische aufbau des scripts, ganz abgesehen von injections.

Allgemein ist es am sichersten magic_quotes_gpc zu deaktivieren und jeder Wert, der in das Statement eingefügt wird mittels mysql_escape_string() zu maskieren.

$user = mysql_escape_string($_POST["user"]);
// nächste Zeile ist mysql_escape_string() IMHO nicht erforderlich,
// da md5() nur Zahlen und Buchstaben verwendet
$password = mysql_escape_string(md5($_POST["password"]));

$cdb->select("select id from user where name = '" . $user.
"' && password = '" . $password . "'");