@Klingsor - Danke fuer deine konstruktive Einmischung. Aber sie wollen mir halt nur soweit helfen, bis sie meine DB knacken koennen, um herauszufinden, welche Farbe das Flohband der schwarzen Katze hat. :P

Trotzdem, auch auf die Gefahr hin, dass ich jetzt googeln und zu Tuturials geschickt werde, stelle ich jetzt die Frage anders und bitte um moeglichst sichere Loeungsvorschlaege. Damit meine ich nicht den Vorschlag, die DB offline zu betreiben.

Also angenommen, ich erstelle eine html/php-Seite ueber die Entwicklung der Katzen. In einer mysql-DB sind Fotos und Daten von 500 Katzen gespeichert. Auf der html/php-Seite sollen Links sein, die ein neues Fenster oeffnen, wo ergaenzende passende Daten aus der DB angezeigt werden. Wenn es sich nur um 1 Datensatz handelt, ist das einfach. Da sende ich die ID. Damit koennen vermutlich nur ganz besonders boese Buben etwas anstellen. Wenn der Link aber alle "schwarzen nordasiatischen Langhaarkatzen" (z.B. 27 Stueck) anzeigen soll, dann muss ich mehr als die ID liefern.

So, wie oben geklaert, funktioniert das auch wunderbar, aber dass dann die boesen Buben eventuell den Katzen das Futter wegfressen koennten, gefaellt mir natuerlich nicht wirklich so gut.

In anderen einfacheren DBs arbeite ich mit Kategorien und frage diese einfach ab. Aber bei ueber 100 Kategorien und Subkategorien, die vorher angelegt werden muessten, nur weil man eventuell einmal im Text eine ganz spezifische Auswahl aufruefen moechte, wird die Sache unlustig, wenn eine elegantere Loesung funktioniert.

Wenn da nur die boesen Buben nicht waeren . . .

lg
ff

@Potassium

Es waere nett von dir, wenn du mir/uns eine Liste mit den "Worten" posten wuerdest, deren Filterung Sinn macht, weil sie in diesem Zusammenhang gefaehrlich sein koennen. Also nicht saemtliche mysql-Befehle. Hier ist Erfahrung gefragt, die mir in dieser Hinsicht fehlt. Ausserdem merke ich mir nur die Befehle, die ich brauche und verwende. Ich habe wirklich keine Lust, meine Energie damit zu verschwenden, saemtliche php und mysql-Befehle zu durchforsten und zu ueberlegen, ob man damit eventuell etwas anstellen koennte.

Da frage ich doch viel lieber im wcm-Forum nach, ob sich schon jemand diese Arbeit angetan hat . . . :)

Danke
ff

http://de.wikipedia.org/wiki/SQL-Injektion
lies mal.
und noch zusätzlich:
http://de.wikipedia.org/wiki/XSS

Ich habe ihm wenigstens aufmerksam gemacht, das so eine Lösung gefährlich ist.
Was ist von dir gekommen?
Denke du bist auf Sternderljagd, zum Thread hast du nichts beigetragen.

Sloter

Nun, ein Eingriff in die Diskussionskultur kann auch ein Beitrag sein.
Mittlerweile gibt's ja auch schon sachliche Beiträge.
Ich interessiere mich zwar dafür,
aber auf der sachlichen Ebene warte ich doch gerne,
bis (wirkliche!) Routiniers ihre Kenntnisse dadurch bezeugen,
dass sie methodisch umsetzbare Informationen liefern.

Formularvalidierung mit Regulären Ausdrücken:

http://aktuell.de.selfhtml.org/tipps...arvalidierung/

Sag mal was soll man noch mehr machen?

Es würde schon reichen etwas seinen Kopf einzuschalten... Wenn man Query "a" ungehindert, ungeprüft und uneingeschränkt ausführen kann, was hindert einem dann daran jede x-beliebige Query zu senden? Weiters wäre es halt sehr sinnvoll Manual bzw. Dokumentation über die Produkte zu lesen, welche man gedenkt einzusetzen

pong

@Potassium - Danke fuer die interessanten Links!

Ich habe das Beispiel mydomain.at/myscript.php?search_column=Tier GO EXEC cmdshell('format C') -- getestet und somit hat sich das Problem erledigt . . . ;-)

Nun im Ernst, wenn das funktionieren wuerde, dann haette ja auch meine eigene "Injektion", wegen welcher ich diesen Thread eroeffnet habe funktioniert. Allerdings ist mir jetzt bewusst, dass die php.ini-Einstellung "magic_quotes_gpc = On" das verhindert.

mysql_real_escape_string() habe ich hier auch als "guten Buben" gefunden. Allerdings muss ich dafuer vorher auf mysql 4 upgraden. Das ist ohnehin in den naechsten Tagen geplant.

@Sesa_Mina - Danke fuer den Link! Das lege ich mir einmal unter den Kopfpolster . . .

@pong - Falls DU die geistigen Faehigkeiten besitzt, das komplette php-, perl-, mysql-, apache- und Linux-Manual durchzuackern, dir alles zu merken, dich dann hinzusetzen und alles von Grund auf richtig, alle guten und boesen Aspekte beruecksichtigend, zu programmieren, dann kann ich dir nur meine volle Hochachtung und Bewunderung aussprechen.

Ich besitze leider diese Faehigkeit nicht und muss mit "learning by doing" vorlieb nehmen. Und dazu gehoert auch, ab und zu eine Frage in das WCM-Forum zu stellen, um die neu zu lernenden Inhalte mit Hilfe der Forumgemeinde einzugrenzen. Dabei habe ich ueberhaupt kein schlechtes Gewissen, da jede(r) Helfende das freiwillig macht. In Bereichen, wo ich selbst Erfahrungsvorsprung besitze, helfe ich auch anderen gerne.

lg
ff

@Klingsor
IMHO muss ich da pong & Sloter schon recht geben ... oft reicht auch schon der hinweis, dass die lösung suboptimal ist, um ein umdenken zu bewirken ...

wenn dann der fragende bereit ist (wie auch bei ff festgestellt), andere lösungsansätze zu verfolgen, dann wird er, sofern er nicht selbst einen lösungsweg findet, erneut um hilfe fragen ... gerade das "selbst nach einer lösung suchen" bewirkt meiner erfahrung nach den besten lerneffekt ...

Das ist der Sinn des Forums und steht Dir imho auch wirklich zu!
Manche begeilen sich halt lieber an ihrer vermeintlichen abgehobenen Überlegenheit,
hinter der oft nicht viel ist,
statt produktiv an einem Forum teilzunehmen.