Som besökare på Hamsterpaj samtycker du till användandet av s.k. cookies för att förbättra din upplevelse hos oss. Jag förstår, ta bort denna ruta!
Annons

Php - sql injection

Skapad av torchi12, 2010-11-02 02:58 i Webbutveckling & Programmering

1 180
6 inlägg
0 poäng
torchi12
Visningsbild
Hjälte 547 inlägg
0
Tittade på en video på youtube och där sa han att följande kod kan bli SQL injectad:

Ett stycke php-kod:
$login = mysql_query("SELECT * FROM users WHERE username='$usernane'"); 


och att om man lägger till följande så kan den inte bli det:
Ett stycke php-kod:

$login = mysql_query("SELECT * FROM users WHERE username='$usernane'");
while ($row = mysql_fetch_assoc($login))
{
$db_password = $row['password'];
if ($password == $db_password)
{$loginok = true;}
else {$loginok = false; }
}


Varför kan man inte bara skriva
Ett stycke php-kod:
$login = mysql_query("SELECT * FROM users WHERE username='$usernane' AND password='$password'"); 

?


Dessutom, vad är mysql_fetch_assoc

Crazy Loop - Crazy Loop

Är reklamen ivägen? Logga in eller registrera dig så försvinner den!

Klas-Kenny
Visningsbild
P 31 Växjö Hjälte 12 128 inlägg
0
HAHA, om du inte vet vad mysql_fetch_assoc tror jag inte du ska försöka dig på SQL-injektioner.


Fotnot:
Visa spoiler
SQL-injektioner och alla andra typer utav hacking är olagligt.


Tillägg av Klas-Kenny 2010-11-02 03:36

Eller missuppfattade jag saken och det du vill göra är att säkra dig mot injektioner?

I så fall räcker inte den kod du postat, det krävs mer filtrering utav strängarna för att få saker säkra.

mysql_fetch_assoc: http://se.php.net/manual/en/function.mysql-fetch-assoc.php

Och en stor anledning till att man inte vill göra som du skrivit är att man lagrar inte gärna lösenord i kakor vilket skulle krävas där, då de är relativt enkla mål för hackare, samt det är fortfarande lätt att göra en injektion rakt in i den queryn.

Rätt verktyg till rätt arbete - Makaroner äts med sked.

MisterD
Visningsbild
P Hjälte 3 738 inlägg
0
väntaväntavänta, på vilket sätt skulle ditt förslag skydda mot en injektion?

Ingen status

Testdocka
Visningsbild
Hjälte 8 inlägg
0

Svar till Klas-Kenny [Gå till post]:
"SQL-injektioner och alla andra typer utav hacking är olagligt."

Det är inte olagligt. T ex om jag har en egen databas som jag själv vill hålla på och "leka" med, så får jag ju det.

Anonymmedlem
Visningsbild
Bitter 9001 inlägg
0

Svar till Borttagen [Gå till post]:
Det är inte heller olagligt att råna sig själv.. -_-

gaminggirl
Visningsbild
F 38 Lund Hjälte 8 084 inlägg
0

Svar till Klas-Kenny [Gå till post]:
Det är olagligt om du inte har tillsrånd att göra det.


Svar till torchi12 [Gå till post]:
Jag kan fortsätta skriva fler kommandon i username, t.ex. username; select * from users

Så får jag ut hela datbasen i stället för bara det du trodde du gav mig.

om du kollar lösenordet efter du hämtat riskerar du inte att ge ut uppgiften om lösenord så att man kan hacka sig in på det viset.

Ingen status


Forum » Datorer & IT » Webbutveckling & Programmering » Php - sql injection

Ansvariga ordningsvakter:

Användare som läser i den här tråden just nu

1 utloggad

Skriv ett nytt inlägg

Hej! Innan du skriver om ett potentiellt problem så vill vi påminna dig om att du faktiskt inte är ensam. Du är inte onormal och världen kommer inte att gå under, vi lovar! Så slappna av och gilla livet i några minuter - känns det fortfarande hemskt? Skriv gärna ner dina tankar och frågor, vi älskar att hjälpa just dig!

Den här tråden är äldre än Rojks drömtjej!

Det senaste inlägget i den här tråden skrevs för över tre månader sedan. Är du säker på att du vill återuppliva diskussionen? Har du något vettigt att tillföra eller passar din fråga i en ny tråd? Onödiga återupplivningar kommer att låsas så tänk efter en extra gång!

Hjälp

Det här är en hjälpruta

Här får du korta tips och förklaringar om forumet. Välj kapitel i rullningslisten här ovanför.

Rutan uppdateras automagiskt

När du använder funktioner i forumet så visas bra tips här.


Annons
Annons
Annons
Annons