WHERE liefert nix zurück

[Stryk]

HI, ich hab seit ein paar tagen nen kleines Problem was mich ganz schön aufhält ... ich wollte über php auf eine datenbank zugreifen (connect klappt einwandfrei) und bereits in der select anweisung entsprechend eine auswahl treffen

<?php require_once('connection.php') ?>

<?php

$userlog = $_REQUEST["userform"];
$passwordlog = $_REQUEST['pwd'];

mysql_select_db($database, $log);
$query = "SELECT * FROM zugang WHERE ((User={$userlog}) AND (Password = md5 ({$passwordlog})))";
$result = mysql_query($query,$log);
$row = mysql_fetch_assoc($result);

echo mysql_error() ;
echo $row['Id'];
echo $row['User'];

das problem ist zwar das es so kein syntax fehler mehr gibt allerdings werden die übergabewerte für die where anweisung ($reguest is gefüllt) entweder nicht angenommen oder was auch immer (bin davon ausgegangen das sie als strings übergeben werden)

Warning: mysql_fetch_assoc() expects parameter 1 to be resource

testweise war mal nur ein datensatz bzw mehrere enthalten, db namen usw schon überprüft, verschiedene variabeln und abfrage typen probiert

hab mir jetzt überlegt ob man da erst über eine verschachtelte abfrage rangehn muß ? das is jetzt schon meine 5 login.php also falls wer ne konstruktive idee (oder links ich find so langsam nix mehr) hat wär ich sehr dankbar

mfg

[Kropff]

Kannst du mal erzählen, was die geschweiften Klammern sollen?

{$userlog} 

Außerdem solltest du bei solchen Problemen ein vernünftiges Debugging betreiben.

Peter

[Stryk]

Ja die Klammern waren ein Lösungsversuch ( hab in nem tutorial gelesen das man damit für php strings markiert) macht aber kein unterschied, wie gesagt ich probiere schon etwas länger ^^

ok ich hab jetzt noch ein paar echos und die's eingefügt (liest aufjedenfall die formulareingaben), keine database errors oder sonstiges

allerdings ne interessante meldung die ich so noch nicht hatte

Fehlermeldung:
Unknown column 'test' in 'where clause'
test ist hierbei eigentlich inhalt der tabelle nicht spaltenkopf
(google sagt zum großteil fehlen meist klammern)

neue vermutung ist das er User und Password nicht als Spaltennamen erkennt (geh davon aus das es bei password genau so ist er nur nicht weiter macht)

Query echo:
SELECT * FROM zugang WHERE (User=test) AND (Password = md5 (test1))

hatte die variablen auch entsprechend deinem tutorial mal durch die reinen requests ersetzt, gleiches ergebnis

PS: aber danke schon mal für die schnelle antwort

[Kropff]

String in Anführungszeichen setzen!

SELECT * FROM zugang WHERE User='test' AND Password = md5('test1')

Außerdem ist Password ein reservierter Begriff und sollte in Backticks gesetzt werden (zumindest unter Windows, das ist nicht case-sensitive).

`Password`

Peter

[h3ll]

Es fehlt das SQL-Escaping. Ohne dem sind SQL-Injections möglich, das heißt jeder kann beliebig Daten aus deiner Datenbank auslesen oder sogar verändern.

[Quetschi]

Außerdem ist Password ein reservierter Begriff ...

Seit wann?

[Stryk]

So ich würde ja jetzt gern sagen problem gelöst aber na ja ... :/

ich hab jetzt mal ne kontrollschleife ohne abfrage eingefügt

$userlog = $_REQUEST['userform'];
$passwordlog = $_REQUEST['pwd'];

mysql_select_db ($database, $log) or die (mysql_error());

$ergebnis = mysql_query("SELECT * FROM zugang");
while($row = mysql_fetch_assoc($ergebnis))
{
  echo $row['Id'];
  echo $row['user'];
} 

diese liefert mir einwandfrei sowohl die vorhandenen ids als auch die benutzer, also irgendwie spinnt die abfrage immer noch

hab sie mal leicht verändert

[...]
$result = mysql_query("SELECT * FROM zugang WHERE user='$userlog' AND kennwort = md5('$passwordlog')");
$row = mysql_fetch_assoc($result);

echo $row['Id'];
echo $row['user'];
[...] 

das query echo (nicht aufgeführt) liefert auch den inhalt der variablen userlog und passwordlog (exakt was eingegeben wurde) , ich versteh nicht warum er es nicht abgleichen will innerhalb der tabelle sind die daten als text declariert, hängt es eventuell damit zusammen? ich glaube ja das hängt mit den request-feldern zusammen, als was (array, string, objekt ... ) wird der inhaltden übergeben? die row echos sind leer

brauch die um dann entsprechende if zu nutzen usw.

if ($userlog == $row['user'] || $passwordlog == $row['kennwort']) 

die einzige ausgabe ist jetzt "Benutzername oder Kennwort falsch" also er geht in die schleife aber geht natürlich in den bereich für nen abgleichfehler wo genannte meldung erscheint

PS: ja ich weiß das noch bissel was fehlt, ich werd auch ne session drum legen wenn das problem irgendwann gelöst ist, aber danke für den tipp mit der injection problematik, hab grad schon ne brauchbare lösung gefunden

[Stryk]

ok vergesst es

es is alles wunderbar der fehler lag in der funktion md5() (diese sollte mein pw verschlüsseln) , also es ist nciht direkt ein fehler es is nur ein logischer zusammenhang das es wie folgt funktionieren muß

ohne diese funktion findet eine ordentliche weiterleitung statt !

allerdings hät ich sie gern behalten darum hab ich in meinem jugendlichen leichtsinn diese auch in der if eingefügt

if ($userlog == $row['user'] || $passwordlog == md5($row['kennwort']) 

und es funktioniert

nun ja danke trotzdem, nun werd ich mich (endlich) an die sicherheitsrelevanten dinge begeben