Sicherheit: MySql-Injection und Zugriff "von aussen"

[treziman]

Hallo,

Aua, bitte nicht. Passwörter werden ohnehin *nie* im Klartext gespeichert, sondern beispielsweise mittels PASSWORD() verschlüsselt; und gerade Sonderzeichen zu verbieten ist das Übelste, was man bei Passwörtern machen kann.

Muss ich darüber hinaus noch etwas beachten?

Kodiere einfach die Werte. Fertig.

Zum Kodieren benutze ich md5(). Okay?
Natürlich werden Passwörter nicht im Klartext gespeichert, was mich aber nicht daran hindert, sie vor einer Abfrage in der DB auf gültige Formate zu prüfen. Sonst werden unnötigerweise Abfragen an die DB gestellt. Ausserdem sollen, so mein Infostand, keine Steuerzeichen in die gespeicherten Daten, wie ";" und "" usw.
Es gibt leider viele Spinner im Web, die sich einen Spass daraus machen, Rigistrierungsformulare mit Unsinn zu füllen und abzusenden. Einen solchen hatten wir mal. Er nannte sich "Der Zerstörer" und füllte das Kontaktformular mit Müll (alle möglichen Zeichen) und sandte es ab. Erst als ich zusätzlich einen Spamschutz eingebaut habe, in dem man eine simple Rechenaufgabe lösen musste, hörte das auf. Da musste er wohl seine Birne anstrengen und hatte dann keinen Bock mehr. Nur mal so am Rande.

Warum umleiten, wenn Du einfach den Login-Prozess starten und wieder an der Stelle landen kannst, wo der Nutzer hin wollte?

Das ist strukturbedingt. Es gibt keinen Link "zum Login". Das Loginformular ist ständig sichtbar in einem div-Bereich - bis man sich eben eingeloggt hat.

Es soll sich dabei um eine Datei handeln. Muss man die selber einrichten?

Ja, das nennt sich allerdings "abspeichern".

Nun, ich beschäftige mich erst seit kurzem mit htaccess. Aber auch als blutiger Amateur leuchtet mir ein, dass das Abspeichern einer leeren Datei wohl nicht viel bringt......oder?

Ja, das selbe, in der Tat. Zwischen einer solchen Eingabe und der Verwendung eines Bookmarks oder Favoriten gibt es keinerlei Unterschied.

Heisst, Dateien ausserhalb des DocumentRoot können NICHT erreicht werden?

Der Pfad wird ja beim Besuch im unteren Browserrand angezeigt und kann sich gemerkt werden.

@Der Martin
Ja, ich meine die Statuszeile: Mauszeiger über Link - Link wird in Statuszeile angezeigt - Link kann notiert werden - Link kann später vom User im Browser eingetippt werden. Deutlicher?

Danke für eure Antworten.

Gruss
Thorsten