4 svar · 414 visningar · startad av Melea
Hejhej!
Har just kommit på en sak som jag inte riktigt vet om det funkar.
Om vi säger att vi har en tabell som heter "members", och ett formulär som har en input där man får skriva vad man vill, som sedan läggs till i databasen. Vad händer om man skriver
"; DROP TABLE members
Tas tabellen bort? Eller finns det någon spärr mot detta?
Samma gäller när man hämtar information från en querystring, typ: ?id=1, om man nu ändrar den till
?id=1";DROP TABLE members
Hur blir det då?
Just curious!
Sök på "SQL Injection". Svaret är alltså att tabellen verkligen försvinner, om du nu stoppar in den strängen i ett sql-uttryck. Du bör alltså kontrollera så att ingen försöker sig på sql injections. Om du söker på det begreppet, kommer du hitta högar med tips om hur du undviker sådant.
Du kan även sätta rättigheter på användaren till mysql-databasen så att den inte har rättigheter att köra frågor som DELETE eller DROP TABLE.
mysql_real_escape_string(); och htmlentities(); är bra funktioner att kika på.
Gislaved skrev:
Du kan även sätta rättigheter på användaren till mysql-databasen så att den inte har rättigheter att köra frågor som DELETE eller DROP TABLE. ...
Fast det funkar väl sämre om man har exempelvis moderatorer som ska kunna ta bort inlägg o dyl. För databasen kan väl inte veta mer än att det är en och samma användare (dvs applikationsprogrammet) som körs, eller? :q
Bara du kör addslashes() på all text som ska in så ska det inte vara någon fara.
addslashes() gör alla farliga tecken ofarliga, tex så blir " \" och ' blir \'
När du sedan vill skriva ut texten så bör du köra stripslashes() på texten så att alla \ försvinner annars blir det att se knasigt ut med massa \ i texten.