Mysql Injections

Helt basalt så går det på hvis man koder som dette:

$sql = "SELECT * FROM users WHERE username = '" . $_POST['username'] . "' AND password = '" . $_POST['password'] . "'";

Den vil virke - men forestil dig at du modtager følgende data:

username: admin
password: ligemeget' OR '1'='1

Hvilket vil give dig en SQL streng som denne

SELECT * FROM users WHERE username = 'admin' AND password = 'ligemeget' OR '1'='1'

Og da 1 == 1, så vil du modtage bruger-rækken for brugeren "admin".

--

Et andet eksempel

username: admin
password: ligemeget'; DROP TABLE 'din_database

Hvilket vil give SQL-strengen

SELECT * FROM users WHERE username = 'admin' AND password = 'ligemeget'; DROP TABLE 'din_database'

Den er heller ikke heldig, da du nu vil stå uden din database (såfremt din bruger har adgang til at slette din database, hvilket den ikke burde have)

---

Det er derfor vigtigt at escape data før de bliver sat ind i en SQL-streng... eg

$sql = "SELECT * FROM users WHERE username = '" . mysql_real_escape($_POST['username']) . "' AND password = '" . mysql_real_escape($_POST['password']) . "'";

Fordi så vil evt. '-tegn og andet "skadeligt" blive escapet så de ikke længere er farlige..

PS, funktionen hedder 90% sikkert ikke mysql_real_escape - kan aldrig huske hvad den hedder, slå den op.

-fangel

har fundet en der hedder mysql_real_escape_string?
har gjort sådan her så
$user = mysql_real_escape_string($_REQUEST["user"]);
$password = mysql_real_escape_string($_REQUEST["password"]);

selct * from blabla where user = '$user' AND password = '$password'

vil det virke?

Det er fint, ja :)

Ok THX fangel svar så du kan få point

okay da.. ;)

crist, slow day today.. igen...