HTML zu SQL verschlüsseln

K

Kosta_91

Gast

• 8. Juni 2010

• #1

Ich hab ein Skript geschrieben, indem ein Benutzer sein PW und BN eingeben kann,
und dies dann in eine SQL Datenbank geschrieben wird. Jedoch ist die Server-IP, der
Login Name und PW für den SQL Benutzer zu sehen, wenn jemand die URL von dem Skript
eingibt, könnte er doch diese Daten sehen,oder?? Gibt es eine Möglichkeit dies zu verhindern?
Hier das Skript:


<?php
echo "Eine E-mail wurde an Ihre Adresse verschickt.
Bitte bestätigen sie Ihr Konto mit dem Aktivierungslink in der E-mail.";
$a = mysql_connect ("177.83.23.94","root","");
if($a){
echo "";
}
else{
echo "Fehler bei Verbindung zum SQL-Server!";
}
$name = $_POST["Name"];
$vname = $_POST["VName"];
$email = $_POST["email"];
$nickname = $_POST["Nickname"];
$PW = $_POST['PW'];
$eintrag = "INSERT INTO login_server.user (Name, Vorname,
email, Nickname, Passwort) VALUES ('$name',
'$vname', '$email', '$nickname', md5('$PW'))";
$eintragen = mysql_query($eintrag);
?>

 

M

Mr. Snoot

Gast

• 8. Juni 2010

• #2

Bei PHP siehst du im Browser nur das, was du mit echo ausgibst.

Du kannst aber das Script zur DB-Verbindung auch in einen htaccess-geschützen Ordner packen und dann via include einbinden. Dann hat da direkt niemand Zugriff drauf.

 

K

Kosta_91

Gast

• 8. Juni 2010

• #3

Wie erstelle ich einen htaccess geschützten ordner? und wie binde ich den ein?
Bin nämlich noch relativ neu in dem Fach?

 

F

Fatal Error

Lt. Junior Grade

Registriert

Jan. 2009

Beiträge

294

• 8. Juni 2010

• #4

Ahm du weißt schon, dass ein PHP Skript geparst wird, und nur das Ausgegeben wird was du auch willst bzw. mit echo ausgibst. PHP Variablen bzw Strings, die nicht mit echo, print, oä. ausgegeben werden sind nicht im HTML zu sehen.

Edit: zu langsam...

 

K

Kosta_91

Gast

• 8. Juni 2010

• #5

zu langsam? was meinst du damit?

 

Zuletzt bearbeitet: 8. Juni 2010

U

unisolblade

Gast

• 8. Juni 2010

• #6

Er meint damit das er zu langsam war mit der Antwort weil Mr. Snoot das scho gesagt hat

 

K

Kosta_91

Gast

• 8. Juni 2010

• #7

Ok!
Danke für die Antworten!

 

C

carom

Gast

• 8. Juni 2010

• #8

Der Threadersteller hat schon völlig recht wenn er sagt dass jeder die Daten sehen könnte.. der Query ist gerade zu eine Einladung für Injections.

 

M

martl92

Lieutenant

Registriert

Feb. 2009

Beiträge

598

• 8. Juni 2010

• #9

Ich glaube bei den meisten PHP Scripts, die eine Verbindung zu z.B. einer Datenbank aufbauen habe das PWD und BN direkt drin stehen. Und so leicht das PWd einzusehen ists nicht,s teht ja nicht im Quelltext oder der gleichen.

mfg

 

F

Fatal Error

Lt. Junior Grade

Registriert

Jan. 2009

Beiträge

294

• 8. Juni 2010

• #10

martl92 schrieb:

Ich glaube bei den meisten PHP Scripts, die eine Verbindung zu z.B. einer Datenbank aufbauen habe das PWD und BN direkt drin stehen. Und so leicht das PWd einzusehen ists nicht,s teht ja nicht im Quelltext oder der gleichen.

mfg

Zum Vergrößern anklicken....

du widersprichst dir selbst. Zuerst sagst du, dass die meisten PHP Skripts das Passwort und Benutzername direkt drinn haben und dann meinst du die Dinge stehn ja nicht im Quelltext.

Aber carom hat schon recht, der Code ist ein Paradies für alle, die SQL Injection betreiben.

 

M

martl92

Lieutenant

Registriert

Feb. 2009

Beiträge

598

• 8. Juni 2010

• #11

Ja das PWD steht im PHP script. Aber im Browser wird nicht das PHP Script mit den ganzen Befehl angezeigt. Also sieht man das PWD nicht, wenn man das PHP Script nicht direkt öffnet.

mfg

 

W

Whiz-zarD

Gast

• 8. Juni 2010

• #12

Ein MySQL Server sollte auch nicht von außerhalb erreichbar sein.

 

K

Kosta_91

Gast

• 9. Juni 2010

• #13

Und wie kann ich diese SQL injection verhindern? Denn irgendwie muss ich ja auf den MYSQL Server zugreifen können?!

 

tRITON

Lt. Commander

Registriert

Mai 2010

Beiträge

1.913

• 9. Juni 2010

• #14

Indem du die ' (Hochkomma) parsed z.B.

Schau mal hier: http://unixwiz.net/techtips/sql-injection.html

 

M

Mr. Snoot

Gast

• 9. Juni 2010

• #15

Bei Wikipedia oder PHP (mysql_real_escape_string) gibts das ganze auch auf Deutsch.

 

C

carom

Gast

• 9. Juni 2010

• #16

Oder je nach Größe des Projekts gleich prepared Statements oder stored Procedures.

 

A

Agratos

Lt. Commander

Registriert

Mai 2010

Beiträge

1.442

• 10. Juni 2010

• #17

carom schrieb:

Oder je nach Größe des Projekts gleich prepared Statements oder stored Procedures.

Zum Vergrößern anklicken....

Für sowas einfaches? Sinnlos. Da reicht doch mysql_real_escape_string völlig aus.

 

C

carom

Gast

• 10. Juni 2010

• #18

Ich zitier mich mal selbst.

carom schrieb:

Oder je nach Größe des Projekts gleich prepared Statements oder stored Procedures.

Zum Vergrößern anklicken....

Zumal gefragt wurde wie man injections verhindern kann, wer sagt denn dass das noch auf das Beispiel aus Post#1 bezogen sein muss. Desweiteren sind prepared statements in PHP nicht wirklich aufwendig und man kann diverse Dinge viel eleganter lösen.

 

Backslash

Captain

Registriert

Okt. 2006

Beiträge

3.242

• 10. Juni 2010

• #19

Es macht schon sinn die MySQL Zugangsdaten in einen geschützten Ordner zu legen, denn es kann durch eine Fehlfunktion des HTTP-Servers durchaus mal passieren dass ein PHP-Script ungeparst übertragen wird.

Ansonsten, wie schon von den meisten gesagt, sämtliche vom User beeinflussbare Daten prüfen - vertraue niemandem. Sonst wirst du schnell zum Ziel von Angreifern.

/edit: Ein bisschen was zum Lesen:
http://www.danielfett.de/internet-und-opensource,artikel,web-sicherheit
http://www.php-faq.de/q-security-variablen.html

 

Zuletzt bearbeitet: 10. Juni 2010 (links)