SQL-Injektionen, CrossSite Scripting, Affenformular u. Usability

[Engin]

Hi Dennis,

Du musst grundsätzlich davon ausgehen, dass theoretisch jemand deine Datenbank cracken könnte und dir "böse" Daten in die Datenbank schreiben könnte.

Das ist ja auch der einzige Grund, warum ich schon seit tagen an der ersten Hürde hängen bleib. :)
Ich wäre laut meiner Planung eigentlich schon bei der Ausgabe des HTML Codes
aber die mysql Geschichte lässt nicht locker.

Falls magic_quotes aktiviert war, mache es mit stripslashes() rückgängig.

ja, sind bei mir Aktiv, auf 1.

Das ist ein double-quoted String, also zwischen " eingeschlossen. In einem solchen String werden Variablen ersetzt, PHP macht daraus also:
  "INSERT INTO songtexte (interpret, album, datum, songtext) VALUES ('Max Mustermann', 'Musteralbum', '2008-01-01', 'Trala la la la')"
Und erst _dieser String_ wird an die Funktion sprintf() übergeben!

Was soll denn sprintf() deiner Meinung da noch machen? Da steht doch schon alles drin ;-)

Keine Ahnung. :)) Ich weiss doch seit Tagen selber nicht, was ich hier mache.
Du musst dir mal meine Logs ansehen, wieviel _POST es in den letzten Tagen auf dem Server gab. :)

~~~php

$sql = sprintf(

"INSERT INTO songtexte (interpret, album, datum, songtext) VALUES ('%s', '%s', '%s', '%s')",
            mysql_real_escape_string($interpret),
            mysql_real_escape_string($album),
            mysql_real_escape_string($datum),
            mysql_real_escape_string($songtext)
         );
  $result = mysql_query($sql) OR die(mysql_error());

  
Vielen Dank für deine beispiele, aber irgendwo läuft bei mir was gewaltig schief. Sämtliche Eingaben werden  
in der DB unverändert gespeichert, ob´s \ oder ', einfach alles.  
Ich hab jetzt auch keine Zeit mehr weiter zu testen, werd mich Heute Abend wieder dran setzen.  
  
Wenn du lust und Zeit hast könntest du ja mal drüber schauen,  
<http://nimmet.de/beispiele/dbtest.txt>, aber nicht erschrecken,  
das ganze ist irgendwie nur noch ein haufen Chaos, wollte das in Ordnung bringen,  
wenn ich es denn endlich zum laufen kriege.  
  
Grüße,  
Engin  
 GYRO

-- 
["ich bin ein Insekt, ich bin ein Insekt"](http://nimmet.de/nimmet-dateien/banjo.shtml)  
  
![](http://nimmet.de/nimmet-bilder/valigator.gif)[Der Valligator](http://old.atomic-eggs.com/old_forum/messages/237.html#a1)  
  
["I would like to buy a hamburger"](http://www.youtube.com/watch?v=x8S7x_z1w1s)