[MYSQL] Query beveiligen

Hey One2xsers,

Ik zie teveel topics over een query beveiligen. Ik weet dat dit in tutorials hoort maar misschien een sticky voor de startende coders?

Hier komt die:

Waarom beveiligen?
Je beveiligt een query om ervoor te zorgen dat hackers niet in je database kunnen.

Hoe?
Dat is voor de meeste van jullie de vraag.
Een onbeveiligde query:

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"SELECT * FROM leden WHERE id="[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]].[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700]);[/COLOR]

Waarom is dit fout?
We vergeten mysql_real_escape_string() te gebruiken. Als we mysql_real_escape_string() gebruiken zorgen we ervoor dat de "hacker" geen toegang kan krijgen tot jouw database.

Waar moet ik mysql_real_escape_string() gebruiken?
Als een gebruiker kan bepalen wat er in een query komt dus bij:
Alle veriabelen
$_POST
$_GET
$_COOKIE

Een voorbeeld hoe het WEL moet:

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"SELECT * FROM leden WHERE id="[/COLOR][COLOR= #007700].[/COLOR][URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]]).[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700]);[/COLOR]

Hoe het NIET moet:

[COLOR= #0000BB]<?php[/COLOR]
[URL="http://www.php.net/mysql_real_escape_string"]mysql_real_escape_string[/URL][COLOR= #007700]([/COLOR][URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"SELECT * FROM leden WHERE id="[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]].[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700]));[/COLOR]
[URL="http://www.php.net/mysql_query"]mysql_query[/URL][COLOR= #007700]([/COLOR][COLOR= #DD0000]"mysql_real_escape_string(SELECT * FROM leden WHERE id="[/COLOR][COLOR= #007700].[/COLOR][COLOR= #0000BB]$_POST[/COLOR][COLOR= #007700][[/COLOR][COLOR= #DD0000]username[/COLOR][COLOR= #007700]].[/COLOR][COLOR= #DD0000]""[/COLOR][COLOR= #007700]));[/COLOR]
?>

Nog vragen?

Handig!

Om $_COOKIE moet toch ook mysql_real_escape_string?

Kan word vaak niet gedaan zal hem erbij zetten.

Oki.
Ik zag het bij andere posts dat ze zeiden dat je het om get post en cookie moet zetten dus vandaar ^^

Thommity schreef:

Handig!

Om $_COOKIE moet toch ook mysql_real_escape_string?

Yes, GET, POST en COOKIE

Ik vind de tutorial kort door de bocht:

Quote:
Waarom beveiligen?
Je beveiligt een query om ervoor te zorgen dat hackers niet in je database kunnen.

Dus als iemand met brute-force in phpMyAdmin je wachtwoord raadt, helpt mysql_real_escape_string() dan ook?

Leg liever uit wat die functies exact doet, als je toch een tutorial schrijft.

Ik probeer het in Jip en Janneke taal. Probeer het anders zelf ?

Wouterp schreef:

Ik probeer het in Jip en Janneke taal. Probeer het anders zelf ?

Waarom ik?
Jij wilt een tutorial schrijven? EN ik geef wat opbouwend kritiek, dus je kan zelf wel wat meer research doen, lijkt me?

Aarclay schreef:

Dus als iemand met brute-force in phpMyAdmin je wachtwoord raadt, helpt mysql_real_escape_string() dan ook?

Leg liever uit wat die functies exact doet, als je toch een tutorial schrijft.

De meeste mensen hier die hebben geen eigen server draaien maar een simpel hostje.
De hoster zal voor dit soort aanvallen wel een notificatie systeem hebben, dus dat voorbeeld over brute-force is hier niet echt van toepassing.

Maar het is een voorbeeld van dat de tutorial kant noch wal raakt in mijn ogen. En wat heeft een eigen server nou met dit topic te maken?

Het is een voorbeeld, zoals ik al zei.

Aarclay schreef:

Maar het is een voorbeeld van dat de tutorial kant noch wal raakt in mijn ogen. En wat heeft een eigen server nou met dit topic te maken?

Het is een voorbeeld, zoals ik al zei.

Sommige mensen met vps/eigen server die hebben dit niet zo beveiligd.
Veel hosters gebruiken toepassingen zoals fail2ban en dergelijke.

Simpel maar toch erg belangrijk.
Goede tut.

Moet dit niet bij tutorials?

Dylanh schreef:

Moet dit niet bij tutorials?

Wouterp schreef:

Hey One2xsers,

Ik zie teveel topics over een query beveiligen. Ik weet dat dit in tutorials hoort maar misschien een sticky voor de startende coders?

Lezen?

Wouterp schreef:

Eerdere citaten tonen

Dylanh schreef:

Moet dit niet bij tutorials?

Eerdere citaten tonen

Wouterp schreef:

Hey One2xsers,
Ik zie teveel topics over een query beveiligen. Ik weet dat dit in tutorials hoort maar misschien een sticky voor de startende coders?

Lezen?

Sorry.

http://www.one2xs.com/threads/6272

Alle beveiliging include dit. Ook altijd handig