[Ben]

Du musst ja auch echo o.Ä. verwenden, um den "return"-Wert auszugeben.

Grüße Ben.

[Lars]

Sieht recht gut aus.

[Doggi]

das liegt vielleicht daran, dass es der code von Jann ist

nur suche ich noch den fehler warum es nicht geht. das mit dem echo versteh ich nicht da ich die funktion ja mit variable aufrufe und ich nicht verstehe was ich da mit echo ausgeben soll. ich will ja nichts ausgeben sondern nur die variable durch die funktion verändern

[Jann Hendrik]

Zitat von Doggi

das liegt vielleicht daran, dass es der code von Jann ist

das schützt auch nicht vor Fehlern!!!

ich nutze seit einiger Zeit:
http://de.wikipedia.org/wiki/SQL-Injection#PHP

[Doggi]

das weiß ich doch. ich wollte damit sagen, dass ich darauf momentan noch nicht gekommen wäre, da ich mit funktionen grad am probieren bin.

[Lars]

Die Funktion gibt den fertigen Wert zurück (return $var und nicht aus (echo $var. Du kannst den Rückgabewert speichern ($var = funktion() oder direkt ausgeben (echo funktion().

// Edit:
Das "sieht doch schick aus" ging an Jojo

[Doggi]

genau das erwarte ich ja. naja, vielleicht ist es einfach zeit aufzuhören und morgen weiter zu machen.

[Marco]

Tach,
ich habe mich jetzt bis zu Euch "vorgegoogled" und bin ja genau in dem richtigen Beitrag gelandet.
Hochinteressant wie die verschiedenen Ansätze zur Sicherheit aufgearbeitet werden.
Nun aber mal die Frage eines PHP-Amateurs der immer so fleißig vor sich hinbastelt und meistens seine eigenen Lösungen findet.
Ich würde für mein kleines Projekt evtl. noch folgenden Denkansatz zusärtlich umsetzen wollen:

$text = $QUERY_STRING;
$suche = "SELECT";
if(stristr($text,$suche):(
// evtl. Mail mit Query String an Webmaster
echo "<h1>Schimpfworte</h1>";
exit;
endif;

Das ist jetzt die unbearbeitete Variante nur als Idee.
Es werden dann die wichtigsten Begriffe in einer for-Schleife durchgearbeitet. (SELECT,UPDATE, DROP...)

Das ganze in die Datenbankdatei vor dem connect gesetzt sollte doch schon fast alle Möglichkeiten einer Injection erschlagen, oder liege ich da falsch ?

Gruß
Marco

[Lars]

Eine Injection wäre ja schon

PHP-Code:

$QUERY_STRING = "' OR 1"; 


Ich denke auch, dass es wesentlich schneller gehen würde, mal kurz mit mysql_real_escape_string() drüber zu rutschen.

[VolkerK]

Zuerst stellt sich mal wieder die Frage nach dem Warum...

Und dann noch die nach der Richtigkeit
SELECT a,b,c FROM t WHERE x='update available. select preferred lalalala'
Ist doch eine harmlose, sinnvolle Abfrage.
Andererseits

PHP-Code:

<?php
$pass = "' or '1'='1";
$query = "SELECT username,x,y FROM UserTable WHERE userpass='$pass'";

echo $query;
?>

Das hätte Deine Vorgehensweise nicht verhindert, ist aber auch schlimm.

[Marco]

Danke für die Antworten. Es war nur ein Gedanke, aber die Einwände machen Sinn. Daher habe ich es bereits in den Müll geschoben. Schade, ein paar Schimpfkanonen wäre ich dann schon gerne losgeworden. Gruß Marco

[Lars]

Schimpfworte kannst du ja seperat filtern, z.B. bei der Ausgabe.

PHP-Code:

$search = array('schlimmes schimpfwort');
$replace = array('was nettes');

$text = str_replace($search, $replace, $text); 


[Ben]

Dazu eventuell interessant:
http://shiflett.org/archive/184

Und dazu:
http://ilia.ws/archives/103-mysql_re...tatements.html

[Verion]

entschuldigt, falls ich gerade einen alten Thread aufwirble, aber ich bin momentan auf der Suche nach einer Möglichkeit, php injection möglichst unmöglich zu machen. Was mich ein wenig verwirrt hat, ist die Tatsache, dass die funktion get_magic_quotes_gpc() gar nicht so sicher ist, wie ich zuerst dachte ^^.

Wie kann man diese Funktion bitte umgehen? wenn die Anführungszeichen bzw. Hochkommata einfach escaped werden, sollte es doch nicht mehr möglich sein, die datenbank zu "ärgern" ?!
Mich würde das interesieren, da ich keine Lust hab plötzlich meine Datenbanken zu verlieren, da ich gewisse Möglichkeiten nicht in betracht gezogen habe

Falls ich einen der links übersehen haben sollte, der mich auf die Lösung stößt, bitte ich um einen kleinen Hinweiß, denn ich habe mir alle Links die sich meiner Meinung damit befassen angeschaut

mfg
Verion

[Lars]

get_magic_quotes_gpc() gibt ja nur zurück, ob die Magic Quotes standardmäßig escapet werden oder nicht. Und weil es manchmal deaktiviert ist, kann man darauf auch nicht vertrauen

Daher:
Wenn magic_quotes_gpc
Dann stripslashes
...
mysql_real_escape_string

[VolkerK]

Und selbst wenn es aktiviert ist, kann man sich nicht darauf verlassen; siehe auch: von Ben verlinkte Seiten.

[Verion]

ups.. die beiden links hatte ich ausgelassen, da ich dachte, sie bezögen sich auf das auffinden von Schimpfwörtern.. Danke, werd mich da mal umschaun.

Verion

[kari01]

*_* Einmal asche und zerstörung auf mein Haupt *_*

Hmm hab das mal aus irgendeinem Artikel entnommen. Allerdings leicht problematisch, wenn englische Texte erwartet werden.

Weiterhin würde ich einfach versuchen typensicher zu programmieren:

Wenn ich einen integer-Wert erwarte:

PHP-Code:

$var = (int) $_POST['mein_kleiner_int']; 


Mfg, kari

[WarrenFaith]

Rofl sorry, aber das ist nicht dein ernst oder?
Der Orginalartikel ist eher eine Satire und zeigt, wie es NICHT sein soll.