Warnung: Sicherheitslücken in Addons

[DieH00ka]

@ bulli

nettes Ava

Jo die Frage ist ganz gut. Bei der bezahlten Shoutbox zum Beispiel.

[eRaaaa]

Was kann man eigentlich nun mei solchen Addons machen, bei denen man Text eingeben kann und in einer DB gespeichert wird, damit dort keine SQL Injections ein gefügt werden können oder das man keine Daten aus der DB auslesen kann?

mhm entweder durch die funktion mysql_real_escape_string sofenr es sich um eine mysql db handelt, das macht aber das vms sowieso schon wenn du db_query anstatt mysql_query benutzt. oder magic_quotes_gpc. aber beides auf garkeinen fall. denn das ist sozusagen wie doppelt negieren ;D (stripslashes() benutzen dann!, magic_quotes is aber eh veraltet und wird bald eh abgesrtz *g*)
ansonsten könntest du immer den typ umwandeln des übergebenen paramters, z.b. in int

[Gremlin]

entweder durch die funktion mysql_real_escape_string sofenr es sich um eine mysql db handelt, das macht aber das vms sowieso schon wenn du db_query anstatt mysql_query benutzt.

Nicht korrekt, die Funktion db_query() bietet die Möglichkeit Variablen abzusichern dafür muss man sie aber richtig anwenden.

Die Funktion wird z.B. so genutzt:

db_query('SELECT status FROM %s WHERE `%s`=%d','vms_kontodaten','uid',184974); 

[Laemmi]

Hallo,
Danke für die weiteren Anregungen.

LG Laemmi

[FlexMax]

EDIT: funktioniert leider nicht

[jpwfour]

Bei mehreren Einsätzen und der Übersicht halber kann man es auch so machen:

<?php
if(!in_array($einsatz,array(1000,5000,10000,50000))) die("Falscher Einsatz");
?>

Da die() ja eh die Scriptausführung beenden sollte, kann man den Rest einfach danach einfügen.

Etwas umformen muss man das Ganze natürlich, wenn die Einsätze aus der Datenbank ausgelesen werden sollen.