Most Things Web

SEO and Web Security since 2006

MySQL-Anfragen gegen SQL-Injections schützen

von ·

Funktion:

QB_SECURE_MYSQL_PARAM

Zu verwenden auf Variablen, die dann in SQL-Anweisungen verwendet
werden. Durch das Maskieren von Sonderzeichen wird verhindert, dass
klassische SQL-Injection-Angriffe auf die Datenbank stattfinden
können.

Beispiele:

Säubern der Variable:

<br />
<?php
  $sql_parameter = QB_SECURE_MYSQL_PARAM($sql_parameter);
?><br />

Innerhalb einer MySQL-Anfrage ist die Funktion jeweils bei Werten
einzusetzen, die aus unsicherer Quelle kommen. Z.B. ganz beliebt,
das Suchen eines Datensatzes anhand der per GET übergebenen
ID:

<br />
<?php
  @mysql_connect(MYSQL_HOST, MYSQL_USER, MYSQL_PASS) OR die(mysql_error());
  mysql_select_db(MYSQL_DATABASE) OR die(mysql_error());
  $sql = "SELECT Titel,Datum FROM News WHERE Id=" . $_GET&#91;'newsId'&#93;;
  $result = mysql_query($sql) OR die(mysql_error());
?><br />

Um auszuschliessen, dass ein Bösewicht den Wert der Variable
"newsID" manipuliert und so Zugriff zur Datenbank erlangt,
sichern wir den Wert der Variable ab:

<br />
<?php
  @mysql_connect(MYSQL_HOST, MYSQL_USER, MYSQL_PASS) OR die(mysql_error());
  mysql_select_db(MYSQL_DATABASE) OR die(mysql_error());
  $sql = "SELECT Titel,Datum FROM News WHERE Id=" . QB_SECURE_MYSQL_PARAM($_GET&#91;'newsId'&#93;);
  $result = mysql_query($sql) OR die(mysql_error());
?><br />

Themenverwandt:

  1. Feldausgaben gegen XSS-Injection schützen (10.3) Funktion: QB_SECUREPRINT Konvertiert Sonderzeichen wie "<", ">", """ so um,...
  2. MySQL Feldtyp DATE umformatieren (9.8) Funktion: QB_DATETIME2ARRAY Diese Funktion wandelt den Inhalt eines DATE-Feldes einer...
  3. E-Mail-Inhalte gegen Mailheader-Injection schützen (8) Funktion: QB_SECURE_MAIL_PARAM Zu verwenden auf Variablen, die dann der PHP-Funktion...
  4. SQL-Injections – eine Analyse an PHP & MySQL [UPDATE] (7.1) Den vollständigen 1. Teil des Dokumentes unter Creative Common-Lizenz als...
  5. Aus einer MySQL-Tabelle ein Pulldown erzeugen (6.6) Funktion: QB_TABLE2PULLDOWN Führt eine simple SQL-Anfrage auf eine Tabelle aus...

Das könnte dich auch interessieren …