Tweet
Hallo,
nachdem nun das nötigste soweit läuft wie es soll geht es darum das Ganze sicher zu machen. Ein großes Thema sind ja die SQL-Injections.
Das erste Skript, das ich draufhin mal überarbeitet habe ist dieses hier:
Nun mal die Frage an euch, in wie weit ist das Skript vom SQL her sicher ist. Was sollte man noch tun um das, bzw. Skripte im allgemeinen, sicher zu machen?
Danke !
Gruß
Michael
nachdem nun das nötigste soweit läuft wie es soll geht es darum das Ganze sicher zu machen. Ein großes Thema sind ja die SQL-Injections.
Das erste Skript, das ich draufhin mal überarbeitet habe ist dieses hier:
PHP-Code:
<?php
//Passwortabfrage für Terminänderungen
echo "<div id='inhalt'>";
if(isset($_POST["absenden"]))
{
if(($_POST['name'] != "") AND ($_POST['passwort'] != ""))
{
//ü im Namen in ein ue wandeln
$suche = array ("ü");
$ersatz = array ("ue");
$aname = str_replace ($suche, $ersatz, $_POST['name']);
// Verbinden mit der Datenbank
require_once($root . "/functions/db_connection.php");
//Prüfen ob eingegebene Daten korrekt sind
$query = "SELECT name, passwort FROM pws WHERE name = '" . mysql_real_escape_string($aname) . "'";
$result = mysql_query($query);
if(!$result)
{
die('Ungültige Abfrage: ' . mysql_error());
}
while($row = mysql_fetch_assoc($result))
{
if (($aname == $row['name']) AND ($_POST['passwort'] == $row['passwort']))
{
echo "<meta http-equiv='Refresh' content='0; URL=index.php?ziel=eintragen&name=" . $row['name'] . "' />";
}
else
{
echo "<p><fehler>Benutzername und/oder Passwort falsch. Bitte Eingaben prüfen !</fehler><p>";
}
}
}
else
{
echo "<p><fehler>Kein Benutzername und/oder Passwort eingetragen. Bitte eingeben.</fehler><p>";
}
}
//Eingabeformular erzeugen
echo "<form action='index.php?ziel=pweintrag' method='post' enctype='multipart/form-data'>";
echo "<label for='vorname'>Benutzername: </label>";
echo "<input type='text' name='name' id='name'><br /><br />";
echo "<label for='passwort'>Passwort: </label>";
echo "<input type='password' name='passwort' id='passwort'><br /><br />";
echo "<input type='submit' name='absenden' value='Einloggen' />";
echo "</form>";
echo "</div>";
?>
Danke !
Gruß
Michael
Moderator
Kommentar