Onveilig :p (mysql injections)

Kijk

<?php
if(!isset($_POST['submit'])) { }
?>

Als er alleen dit staat zijn de inputs niet beveilig tdie kun je het beste beveiliging met preg_match

En met deze stukje php code kun je hem beveiligen vanaf alle !@#$%^*()_ zeg het maar

<?php
if(preg_match('/^[0-9]+$/', $_POST['inzet']) == 0) { print "Ongeldig aantal\n";exit; }
?>

Als een persoon overal iets kan intypen kan hij dus zodoende sql injections aanroepen, dus in een textveld kan hij de +9999 bug uitvoeren.

Vandaar dat er checks moeten ingebouwd worden zoals andytjuh zei.
Als er dan letters/;:+- etc word ingevoerd zorgt de preg_match ervoor dat het niet kan.

Daarom moet elke input worden beveiligd.

Veiligheidslekken zijn geen bugs, bugs = fouten (spelfouten, errors e.d)

Waar men over praat zijn dus 'veiligheidslekken' of gewoon in het kort 'lekken'.
-------------

XSS, SQL injection, en ga zo maar door .. criminals source zitten er vol mee, .. de meeste zijn ook PHP4 / 3 dat is ook een groot probleem van de veiligheid..

Gebruik is een echte functie genaamd is_numeric...
Deze functie kijkt gewoon alleen of je alleen maar cijfers invult.

is_numeric is een betere functie om te kijken of iets een cijfer is dan als je ctype_digit gebruikt.

NielsB, wat is het verschil dan :p
Want ik ben bezig een nieuwe unbugged Criminal te maken, gewoon helemaal zelf, maar dan moet ik hier natuurlijk rekening mee houden :p.
Ik heb alles nu net met ctype_digit(); en mysql_real_escape_string(); beveiligd, maar wat moet ik nog meer doen

Lars

is_numeric is gewoon een functie om te kijken of iets numeric is.
ctype_digit is eigenlijk voor letters etc.

maar als je iets met letters wil dan kan je voor de zekerheid toch is_numeric doen omdat je volgens mij met ctype_digit meerdere tekens erbij kan doen..

het als het goed is allemaal ietsie veiliger..
Ook handig is als je cijfers in de database zet als je dan het volgende gebruikt:
(int) $getal.

Die int zorgt er voor dat het getal dan wel een int is wanneer het letter is en je gebruikt een or die dan weet je oo dit werkt niet.

Cijfers moet je juist beveiligen met (int) en niet met mysql_real_escape_string..

Dus je kan beter dit:

if (!is_nummeric(POST['starmix'])) {
echo '<font face="arial">Dit is geen getal!</font>';
exit;
}

gebruiken i.p.v

if (!ctype_digit($_POST['starmix'])) {
echo '<font face="arial">Dit is geen getal!</font>';
exit;
}

?

ja

Citaat van NielsB

is_numeric is gewoon een functie om te kijken of iets numeric is.
ctype_digit is eigenlijk voor letters etc.

maar als je iets met letters wil dan kan je voor de zekerheid toch is_numeric doen omdat je volgens mij met ctype_digit meerdere tekens erbij kan doen..

het als het goed is allemaal ietsie veiliger..
Ook handig is als je cijfers in de database zet als je dan het volgende gebruikt:
(int) $getal.

Die int zorgt er voor dat het getal dan wel een int is wanneer het letter is en je gebruikt een or die dan weet je oo dit werkt niet.

Cijfers moet je juist beveiligen met (int) en niet met mysql_real_escape_string..

Dit is niet waar, ctype_digit is wel degelijk veiliger!

<?php
$getal	= -1;


if(!is_numeric($getal))
{
	echo 'Volgens is_numeric is '.$getal.' niet numeriek!';
}


else
{
	echo'Volgens is_numeric is '.$getal.' numeriek!';	
}




if(!ctype_digit($getal))
{
	echo 'Volgens ctype_digit is '.$getal.' niet numeriek!';
}


else
{
	echo'Volgens ctype_digit is '.$getal.' numeriek!';	
}	


?>

Voer dit script maar eens uit!
Het zal de volgende output geven:

Volgens is_numeric is -1 numeriek!
Volgens ctype_digit is -1 niet numeriek!

Dus dit betekent dat die +/- bug zal blijven bestaan!

Wou het net melden, ben blij dat Mrmees het even laat zien.

is_numeric laat nog tekens door, ctype_digit(); helemaal niet.

ctype_digit(); is wel degelijk een stuk veiliger dan is_numeric();

Hier vind je meer info over alle soorten..

http://nl.php.net/manual/en/book.ctype.php

Citaat van max1991

wat zijn mysql injections? hoe werkt dat?

Hierdoor kan je SQL code uitvoeren op de aangesloten DB net als in een phpmyadmin of andere SQL manager.
Dit is erg gevaarlijk omdat je hierdoor data als wachtwoorden kan veranderen en zelfs de db kan leeggooien.