mysqli_real_escape_string
Bedankt,
Jean
Code (php)
1
2
3
4
5
6
2
3
4
5
6
$db = opendatabase();
$time = $_POST['time'];
$name = strip_tags(mysqli_real_escape_string($db, $_POST['name']));
$msg = strip_tags(mysqli_real_escape_string($db, $_POST['msg']));
$sql = "INSERT INTO dbname (time, name, msg) VALUES('$time', '$name', '$msg')";
mysqli_query($db, $sql);
$time = $_POST['time'];
$name = strip_tags(mysqli_real_escape_string($db, $_POST['name']));
$msg = strip_tags(mysqli_real_escape_string($db, $_POST['msg']));
$sql = "INSERT INTO dbname (time, name, msg) VALUES('$time', '$name', '$msg')";
mysqli_query($db, $sql);
En met welke reden wil je strip_tags() gebruiken voordat iets in de database staat?
Het lijkt mij zinvoller om dit op de output uit te voeren. Je wilt je invoer immers NOOIT om zeep helpen. Misschien is htmlspecialchars() nog wel beter, omdat je misschien liever HTML onschadelijk wilt maken.
Gewijzigd op 20/08/2021 19:42:01 door - Ariën -
- Ariën - op 20/08/2021 19:40:50:
Als je $time ook even netjes meepakt, dan is het veilig.
Hartstikke mooi. Thanks. $time is geen user input, dat is gewoon een timestamp, dus dat is niet nodig denk ik?
Quote:
En met welke reden wil je strip_tags() gebruiken voordat iets in de database staat?
Goeie vraag, is code van een paar jaar geleden en ik ben het vergeten. :) Blijkbaar tijdens testen destijds gedaan. Maar als het geen kwaad kan...
Gewijzigd op 20/08/2021 20:02:05 door Jean Cremers
Toevoeging op 20/08/2021 20:01:57:
Maar de vraag is: Wat gebeurde er met de hackpoging?
Het kan ook aan tal van andere zaken liggen.
In een half uurtje had ik de boel weer aan de praat dus dat viel nog wel mee, alleen heb ik geen idee hoe hem dat gelukt is. Ik heb passwords veranderd natuurlijk. Ik was wel aan het experimenteren met dbeaver, sqylyog en heidisql, daar zou nog malware in kunnen hebben gezeten maar ook vrij onwaarschijnlijk. Dit is de enige plek waar een user data kan invoeren, behalve dan nog de laatste versie van smf forum.
Gewijzigd op 20/08/2021 20:14:18 door - Ariën -
http://jcremers.com/access_log_jcremers.com.txt
Gewijzigd op 20/08/2021 21:00:27 door Jean Cremers
Zoek je scripts maar eens goed na voor de zekerheid. Heb je ook uploadscripts op je site?
Gewijzigd op 20/08/2021 22:19:58 door - Ariën -
Jean Cremers op 20/08/2021 19:58:46:
Hartstikke mooi. Thanks. $time is geen user input, dat is gewoon een timestamp, dus dat is niet nodig denk ik?
- Ariën - op 20/08/2021 19:40:50:
Als je $time ook even netjes meepakt, dan is het veilig.
Hartstikke mooi. Thanks. $time is geen user input, dat is gewoon een timestamp, dus dat is niet nodig denk ik?
Maar $time komt wel uit de $_POST, dus dan kan de user er mee "klooien" - een normale user zal dat niet doen, maar een hacker is geen normale user ...
Als het echt een timestamp is kun je ook gewoon time() gebruiken, of je moet bijvoorbeeld controleren of het formaat wel klopt (is het integer, of bijvoorbeeld formaat yyyy-mm-dd).
Gewijzigd op 20/08/2021 22:22:47 door Rob Doemaarwat
@Rob, thanks, duidelijk, ik heb het aangepast.
Om public_html te wissen heb je ftp of cpanel toegang nodig toch? Dat krijg je toch niet met sql injectie? Hoe dan wel?
Gewijzigd op 21/08/2021 14:39:49 door Jean Cremers
Toevoeging op 21/08/2021 14:52:31:
en waar moet ik op letten?
Logs van FTP-acties en logins kan je ook meenemen in je onderzoek.
Gewijzigd op 21/08/2021 15:02:37 door - Ariën -
Invalid Security Token
The requested URL does not contain your session’s correct security token.
You may have reached this error by copying and pasting a URL from a different cPanel, WHM, or Webmail session into your browser’s address bar. To resolve this situation, please take one of the following steps:
Go back one page and reload the URL, making sure that the /cpsess … / section of the URL remains the same.
Re-enter your account’s password below. This will assign your session a new security token. This new token will prevent you from using other pages of this application that may be open in other tabs.
Request information
Requested page: 404.shtml
Quote:
Go back one page and reload the URL, making sure that the /cpsess … / section of the URL remains the same.
Re-enter your account’s password below. This will assign your session a new security token. This new token will prevent you from using other pages of this application that may be open in other tabs.
Re-enter your account’s password below. This will assign your session a new security token. This new token will prevent you from using other pages of this application that may be open in other tabs.
Even refreshen in je cPanel, opnieuw inloggen en je kan weer verder gaan.
En anders kan je even een nieuw vers browser-scherm openen.
Logs zou je altijd moeten kunnen downloaden.