Sql injection embedded code

Overzicht Reageren

Sponsored by: Vacatures door Monsterboard

Top Low-Code Developer Gezocht!

Bedrijfsomschrijving Unieke Kansen, Uitstekende Arbeidsvoorwaarden & Inspirerend Team Wij zijn een toonaangevende, internationale organisatie die de toekomst van technologie vormgeeft door het creëren van innovatieve en baanbrekende oplossingen. Ons succes is gebaseerd op een hecht en gepassioneerd team van professionals die altijd streven naar het overtreffen van verwachtingen. Als jij deel wilt uitmaken van een dynamische, vooruitstrevende en inspirerende werkomgeving, dan is dit de perfecte kans voor jou! Functieomschrijving Als Low-Code Developer ben je een cruciaal onderdeel van ons team. Je werkt samen met collega's uit verschillende disciplines om geavanceerde applicaties te ontwikkelen en te optimaliseren met behulp van Low-code

Bekijk vacature »

Karel hertens

karel hertens

07/12/2010 14:44:16
Quote Anchor link
Hallo allemaal,

Ik ben bezig met een video script cms en nu heb ik het volgende probleem.

Als je een video embed code vanuit een textarea naar een DB wilt schrijven, hoe beveilig je dit tegen SQL injections?
Het iframe gebeuren kan niet omdat de embedded code naar een DB geschreven wordt.

Heeft het zin om te filteren op bepaalde sql statements als "OR" of zover ik weet komt ";" nooit voor in een embedded code.
Zou filteren op "OR" en ";" genoeg zijn?

Toevoeging op 07/12/2010 14:45:50:

<object width="480" height="385"><param name="movie" value="http://www.youtube.com/v/PfAWReBmxEs?fs=1&amp;hl=en_US"></param><param name="allowFullScreen" value="true"></param><param name="allowscriptaccess" value="always"></param><embed src="http://www.youtube.com/v/PfAWReBmxEs?fs=1&amp;hl=en_US" type="application/x-shockwave-flash" allowscriptaccess="always" allowfullscreen="true" width="480" height="385"></embed></object>

Ik zie net dat youtube &amp; gebruikt maar dit is natuurlijk ook te controleren.
";" mag neit tenzij &amp;
 
PHP hulp

PHP hulp

28/11/2024 00:09:16
 
Karel hertens

karel hertens

08/12/2010 15:12:49
Quote Anchor link
Weet niemand dit? ik neem aan dan meer mensen hier een probleem mee hebben?
 
Ozzie PHP

Ozzie PHP

08/12/2010 15:21:54
Quote Anchor link
Heb er zelf geen ervaring mee, maar is het niet een idee om in je cms een video-code formulier te maken waar men een paar invulvelden moet invullen?

type (in dit geval 'youtube')
width (in dit geval '480')
height (in dit geval '385')
url (in dit geval 'http://www.youtube.com/v/PfAWReBmxEs?fs=1&amp;hl=en_US')


en dat je aan de hand van de ingevoerde waarden de complete code opbouwt? In je database zou je dan bijvoorbeeld een tabel "video_code" krijgen met de velden 'id', 'type', 'width', 'height' en 'url'.
 
TJVB tvb

TJVB tvb

08/12/2010 15:28:26
Quote Anchor link
Hoe beveilig je normaal gesproken SQL Injection? Het maakt niet uit wat voor tekstuele data je in je database opslaat maar de beveiliging zal hetzelfde zijn. (Voor andere types zoals int,inet etc kan er nog meer controle)
Het is meer de vraag hoe voorkom je xss.
 
Karel hertens

karel hertens

08/12/2010 15:30:05
Quote Anchor link
Probleem hiervan is dat je niet alleen youtube embedded code wil maar ook pornhub, dailymotion, enz.

Het maakt niet uit als de code niet werkt of klopt want wordt toch eerst bekeken(goedgekeurd) voor het de web-site op gaat.
Het moet dus echt alleen checken op sql injection,xss (gisteren zitten lezen over sql injection en xss lekken, als je voorbeelden ziet wordt je anstig)
 

08/12/2010 15:32:17
Quote Anchor link
TJVB tvb op 08/12/2010 15:28:26:
Hoe beveilig je normaal gesproken SQL Injection? Het maakt niet uit wat voor tekstuele data je in je database opslaat maar de beveiliging zal hetzelfde zijn. (Voor andere types zoals int,inet etc kan er nog meer controle)
Het is meer de vraag hoe voorkom je xss.

Dit is het antwoord.
 
Kris Peeters

Kris Peeters

08/12/2010 15:39:18
Quote Anchor link
Zoals bij andere velden:
SQL injection hou je tegen met
mysql_real_escape_string (eventueel mysql_escape_string).
http://php.net/manual/en/function.mysql-real-escape-string.php

Bij het weergeven (SELECT * ...) zal je dan stripslashes nodig hebben.
 
Karel hertens

karel hertens

08/12/2010 15:42:43
Quote Anchor link
Ik ga wel een hoop testen, normaal gebruik ik prepared sql statements of de mysql_real_escape_string.
 

08/12/2010 15:43:18
Quote Anchor link
Kris Peeters op 08/12/2010 15:39:18:
Zoals bij andere velden:
SQL injection hou je tegen met
mysql_real_escape_string (eventueel mysql_escape_string).
http://php.net/manual/en/function.mysql-real-escape-string.php

Bij het weergeven (SELECT * ...) zal je dan stripslashes nodig hebben.



Je hebt niet eens op de link gekeken die je geeft voordat je post?!?!?!?!?
Met mysql_real_escape_String heb je juist geen stripslashes meer nodig, aangezien je geen addslashes gebruikt.
 
TJVB tvb

TJVB tvb

08/12/2010 15:46:40
Quote Anchor link
Karel hertens op 08/12/2010 15:42:43:
Ik ga wel een hoop testen, normaal gebruik ik prepared sql statements of de mysql_real_escape_string.


Dat is nog steeds je database beveiliging. Het zou raar zijn als je een naam veld minder goed beveiligd "omdat het alleen voor namen is"
Elk veld geeft mogelijkheden voor een lek, en elk lek kan gebruikt worden.

Na de SQL injection moet je gaan kijken naar de XSS injection.
 
Karel hertens

karel hertens

08/12/2010 15:49:02
Quote Anchor link
Oke, bedankt voor de reacties.
 
Ozzie PHP

Ozzie PHP

08/12/2010 15:49:28
Quote Anchor link
Karl Karl op 08/12/2010 15:43:18:
Met mysql_real_escape_String heb je juist geen stripslashes meer nodig, aangezien je geen addslashes gebruikt.

(tenzij je magic quotes aanstaan...)
 
TJVB tvb

TJVB tvb

08/12/2010 15:49:55
Quote Anchor link
Ozzie PHP op 08/12/2010 15:49:28:
(tenzij je magic quotes aanstaan...)

(Die je natuurlijk niet aan hebt staan)
 

08/12/2010 15:50:14
Quote Anchor link
Ozzie PHP op 08/12/2010 15:49:28:
Karl Karl op 08/12/2010 15:43:18:
Met mysql_real_escape_String heb je juist geen stripslashes meer nodig, aangezien je geen addslashes gebruikt.

(tenzij je magic quotes aanstaan...)


Maar die horen uit te staan. Zie php.net.
 
Ozzie PHP

Ozzie PHP

08/12/2010 15:53:16
Quote Anchor link
Ja normaal gesproken wel... maar dat wil helaas niet zeggen dat dat ook altijd zo is (zo had een provider ze vrolijk aan staan in een overkoepelende php.ini)
Gewijzigd op 08/12/2010 15:54:23 door Ozzie PHP
 

08/12/2010 15:56:34
Quote Anchor link
Ozzie PHP op 08/12/2010 15:53:16:
Ja normaal gesproken wel... maar dat wil helaas niet zeggen dat dat ook altijd zo is (zo had een provider ze vrolijk aan staan in een overkoepelende php.ini)


Dan zit je bij een slechte hoster.
 
Ozzie PHP

Ozzie PHP

08/12/2010 15:58:04
Quote Anchor link
tis inmiddels al opgelost gelukkig ;)
 
Karel hertens

karel hertens

08/12/2010 21:39:15
Quote Anchor link
; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = On
; Magic quotes for runtime-generated data, e.g. data from SQL, from exec(), etc.
magic_quotes_runtime = Off
; Use Sybase-style magic quotes (escape ' with '' instead of \').
magic_quotes_sybase = Off

Fijn die hosting providers :) probleem is denk ik opgelost.
 



Overzicht Reageren

 
 

Om de gebruiksvriendelijkheid van onze website en diensten te optimaliseren maken wij gebruik van cookies. Deze cookies gebruiken wij voor functionaliteiten, analytische gegevens en marketing doeleinden. U vindt meer informatie in onze privacy statement.