Sicherheit bei mySQL-Abfragen

[neogrande]

Hallo,

da ich immermal vereinzelt was über die Sicherheit von mySQL-Abfragen in Verbindung mit Formularen gelesen habe, möchte ich mal fragen, was man nun wirklich alles machen sollte.

Wenn ich also ein Formular habe, in dem per POST oder GET die id und weitere Daten eines Eintrages geliefert werden und ich etwas machen will wie:

$query = "UPDATE `table` SET `wert` = '".$_POST["wert"]."' WHERE id=$id"; 

Überprüfe ich erst die ID

if (!is_numeric($id)) die("Nö"); 

und dann noch auf mySQL-Schlüsselwörter

 $badwords = array("select", "union", "where", "drop");
 foreach($_POST as $key=>$value)
   foreach($baswords as $wort)
     if (eregi("[ ]+".$wort."[ ]+", $value)) die("Nö"); 

Reicht das, oder bleiben dann noch Sicherheitslücken offen?
Gibt es noch mehr "böse" Schlüsselwörter oder reichen die 4?

[asp2php]

Such doch mal nach SQL-Injection hier im Forum oder besser bei ; dann hast du bestimmt Infos zum Lesen für ein paar Wochen

[neogrande]

Oh, ich vergass natürlich die regulärenAusdrücke bei den meisten Formular-Feldern, die Sonderzeichen verbieten und die add-slashes-Funktion bei den restlichen Formular-Feldern.
Damit dürfte ich ja einen großen Teil der SQL-Incections abgedeckt haben
Und wer trägt bitte in sein php-Script einen Administrator der Datenbank ein?

[ghostgambler]

Original geschrieben von neogrande
und die add-slashes-Funktion bei den restlichen Formular-Feldern.

www.php.net/mysql_real_escape_string ? ist besser als add-slashes, zumindest meißt besser...

Und wer trägt bitte in sein php-Script einen Administrator der Datenbank ein?

ICH
auf nem localhost ist das kein Problem, und auch wenn du richtig codest, ist das kein Problem, was nicht heißt, das es ne gute Idee ist

[marc75]

Original geschrieben von neogrande
Oh, ich vergass natürlich die regulärenAusdrücke bei den meisten Formular-Feldern, die Sonderzeichen verbieten und die add-slashes-Funktion bei den restlichen Formular-Feldern.
Damit dürfte ich ja einen großen Teil der SQL-Incections abgedeckt haben
Und wer trägt bitte in sein php-Script einen Administrator der Datenbank ein?

einfach mal bei www.php.net nach sql-injection suchen, gibt extra eine Seite dazu.



und von mysql_escape_string bzw. mysql_real_escape_string noch nix gehört?

[neogrande]

von mysql_escape_string bzw. mysql_real_escape_string noch nix gehört?

Schon, aber mir ist der Unterschied zu addslashes nicht klar (abgesehen von der Verbindungskennung bei mysql_real_escape_string).

Werden denn andere Zeichen berücksichtigt als bei addslashes (leider sind die maskierten Zeichen in der Doku von addslashes angegeben, bei mysql_escape_string aber nicht)?

[wahsaga]

benutzt du jetzt bitte endlich mal die suche?
das thema haben wir wirklich schon zur genüge durchgekaut.

*close*