SQL injections....
Gerben Jacobs
24/01/2008 10:58:00PHP hulp
28/11/2024 21:49:00Joren de Wit
24/01/2008 11:06:00Nogmaals een SELECT zal echt niet zomaar werken, wie zegt dat die gegevens ook in het script gefetched en getoond worden? Als je al met SQL injectie aan de slag gaat, leg je dan toe op DELETE of DROP queries.
Nog beter: vergeet de hele hacker gedachte en leer jezelf gewoon hoe je het kunt voorkomen. Gebruikt dat dan voortaan en denk er verder niet meer over na...
ps. Twee functies die je in dat geval zeker zult willen gebruiken:
- SQL Injectie: mysql_real_escape_string()
- XSS Injectie: htmlentities(), strip_tags()
Nog beter: vergeet de hele hacker gedachte en leer jezelf gewoon hoe je het kunt voorkomen. Gebruikt dat dan voortaan en denk er verder niet meer over na...
ps. Twee functies die je in dat geval zeker zult willen gebruiken:
- SQL Injectie: mysql_real_escape_string()
- XSS Injectie: htmlentities(), strip_tags()
Gewijzigd op 01/01/1970 01:00:00 door Joren de Wit
Frank -
24/01/2008 11:20:00En toen kon 'database_user' ineens geen gegevens meer verwijderen uit 'tabelnaam'. Zolang hij wel kan updaten, kan hij ook de status van een record (je hebt uiteraard een kolom met de status in je tabel staan) aanpassen: 'verwijderd'. Een administrator kan dan eens in de zoveel tijd oude records daadwerkelijk gaan verwijderen.
Ontneem een user de rechten die hij niet nodig heeft, kan hij deze ook niet misbruiken. Wanneer je stored procedures gaat gebruiken, dan kun je nog veel verder gaan met de rechten en exact bepalen wat iemand nu wel of niet mag uitspoken. Het gebruik van rollen is eveneens sterk aan te raden, dat maakt het beheren van de rechten nog eenvoudiger.
Ps. In MySQL heb ik hier minder ervaring mee maar weet wel dat MySQL minder goed/eenvoudig/gedetaileerd is te beveiligen.