SQL injection

[nobody2]

Hallo!
Ich habe mich jetzt einmal über die sql-injections informiert. Ich bin draufgekommen, dass mein login-bereich total unsicher ist.

meine sql abfrage lautet:
"SELECT * FROM users
WHERE username = '".$user."'
AND pw = PASSWORD( '".$pw."' )";

Wie könnte da eien eventuelle sql-injection aussehen?
Ich habe an sowas gedacht, allerdings funktioniert das nicht.

als user wird admin eingegeben und als pw x') or 1=1 limit 1 --

[Abraxax]

mysql_real_escape_string ist schon einmal hilfreich ...

[skrejci]

Hai,

einfache Injection-Eingabe bei deinem Beispiel:
[COLOR=crimson]Peter' /*[/COLOR]
Damit wird deine Abfrage zu
[COLOR=crimson]
SELECT * FROM users WHERE username = 'Peter' /*' AND pw = PASSWORD( '".$pw."' )
[/COLOR]

Alles ab /* wird von MySQL als Kommentar interpretiert und nicht ausgewertet. Dann brauchst du das Passwort nicht mal.
Gefährlich ist auch der Wert NULL bzw. das hexadezimale Äquivalent \x00.

Ich wende auf alle Usereingaben schon prinzipiell mal ein htmlentities($usereingabe, ENT_QUOTES) an. Damit ist zumindest mal die halbe Miete gewonnen. strip_tags ist auch nicht schlecht (Allerdings weniger gegen SQL-Injection als mehr gegen XSS und CRFS).

Vorsicht auch auf bewusst produzierte Fehlermeldungen. Mit deren Hilfe lässt sich oft die gesamte Struktur einer Tabelle rausfinden.

LGs Stefan

[Kisi]

Hallo!
Die Sql - Injection funktionieren aber nicht, wenn ich magic_quotes_gpc auf 1, also on hab, oder?

[Abraxax]

richtig. genauso ist "magic_quotes_gpc auf 1" dafür verantwortlich, dass deine waschmaschine das korrekte programm ausführt ....

[Slava]

Original geschrieben von Kisi
Hallo!
Die Sql - Injection funktionieren aber nicht, wenn ich magic_quotes_gpc auf 1, also on hab, oder?

nicht ganz.
x00 und x1a was für mysql wichtig ist, wird durch magic_quotes nicht mit slashes versehen.