nicht angemeldet
Hallo Michael,
if(isset($_POST['suchbutton'])){
$Suchbegriff=$_POST['suchfeld'];
$link=mysql_connect();
mysql_select_db('database', $link);
$suche = "Select * FROM gesetze WHERE MATCH (ueberschrift,text) AGAINST ('$Suchbegriff' IN BOOLEAN MODE)";
$result = mysql_query($suche);
Du weißt, dass man bei dir auf diese Art in deiner Datenbank beliebig rumspielen kann?
Die Variable $Suchbegriff wird nämlich unverändert in deinen MySQL-Query gegeben, was passiert also wenn der Benutzer in das Textfeld 'TEXT' (inklusive der Anführungszeichen) eingibt - richtig, der Code zwischen den beiden Anführungszeichen wird von MySQL interpretiert.
Das kannst du verhindern indem du den Inhalt deiner Variable $Suchbegriff maskierst.
Bis dann!
Marc Reichelt || http://www.marcreichelt.de/
Linux is like a wigwam - no windows, no gates and an Apache inside!
Selfcode: ie:{ fl:| br:> va:} ls:< fo:} rl:( n4:( ss:) de:> js:| ch:? sh:| mo:) zu:)
http://emmanuel.dammerer.at/selfcode.html