Mijn DB beschermen, maar hoe?

[JPeetje]

Geplaatst door buick
Een eenvoudige en ook al redelijke manier om je tegen SQL insertion te beschermen, is zorgen dat je invoerveld niet te lang kan worden.

Bij deze nomineer ik je voor #1 onzinverteller van de SQL sectie

Een SQL insertion heeft over het algemeen best wat tekens nodig en dat kun je al redelijk voorkomen door invoer niet langer dan nodig te houden.

bv een gebruikersnaamveld max 10-12 char en wachtwoord 6-10

In 10 tekens is nagenoeg geen insertion mogelijk.

Insertion ? Injection is de wat meer gebruikte term.

Overigens is SQL injection nog steeds heel goed en heel makkelijk toepasbaar met 10 tekens, met één teken meestal al wel. Het kan alleen niet echt effectief gebruikt worden.

Hierbij ga ik er wel vanuit dat je server-side een check doet op dat maximaal aantal tekens.



Verder is het belangrijkste natuurlijk dat je SQL injection gewoonweg voorkomt, het is ECHT NIET moeilijk

 

[arre]

ja hoor herhaal mij maar en strijk de eer op lol

 

[buick]

Voor sql injection/insertion, moet je niet alleen de escapecode, maar ook de query in het invoerveld plaatsen. Dat gaat niet echt als je maar 10 tekens hebt.
(uiteraard heb ik het hier over serverside controle en niet alleen in de paginatekst )

probeer maar eens de text blah' OR 1=1-- (= SQL insertion) in een usernamefield te krijgen van max 10 tekens te krijgen

@JPeetje: Dat Sql injection moeilijker te voorkomen is dan het lijkt, bewijzen wel de constante critical updates voor bv PHPBB, die daar erg gevoelig voor is.
Reden ook dat ik geen uitgebreidere voorbeelden van dit fenomeen ga geven hier

 

[JPeetje]

Geplaatst door buick
Voor sql injection/insertion, moet je niet alleen de escapecode, maar ook de query in het invoerveld plaatsen. Dat gaat niet echt als je maar 10 tekens hebt.
(uiteraard heb ik het hier over serverside controle en niet alleen in de paginatekst )

probeer maar eens de text blah' OR 1=1-- (= SQL insertion) in een usernamefield te krijgen van max 10 tekens te krijgen

Dat zeg ik, SQL injection is dan nog steeds wel mogelijk, alleen door dat limiet kun je het niet effectief gebruiken

@JPeetje: Dat Sql injection moeilijker te voorkomen is dan het lijkt, bewijzen wel de constante critical updates voor bv PHPBB, die daar erg gevoelig voor is.

Het enige wat dat bewijst is dat phpBB brak in elkaar zit, het is namelijk hartstikke makkelijk om rekening te houden met SQL injection. Simpelweg de PHP functie mysql_real_escape_string() toepassen (als de GPC magic quotes aanstaan: eerst stripslashes() toepassen voor perfecte opslag van data) op waarden die de gebruiker bepaald. Op die manier worden ', ", \, de NULL-byte, en nog een heel aantal andere tekens (*klik*) geëscaped en is SQL injection niet meer mogelijk.

There's nothing more to it.

Reden ook dat ik geen uitgebreidere voorbeelden van dit fenomeen ga geven hier

Iedereen die ff Googled op 'phpbb exploit' zal zat resultaten krijgen, echt topgeheim is dat niet meer

Resultaten 1 - 10 van circa 380.000 voor phpbb exploit (0,20 seconden)