[PHP/(My)SQL] voor dummies - Deel 63

Index

» digital corner

» development

actieve topics nieuwe topics
abonnement Unibet Coolblue Bitvavo
  dinsdag 30 september 2008 @ 21:17:10 #151
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62034721
elke mysql query voorzien van addslashes() (magic quotes kan dan op off toch), verhelpt dat het gehele mysql injectie probleem? Of zijn er nog meer dingen om rekening mee te houden?
pi_62035078
mysql_real_escape_string ligt trouwens wel aan je PHP versie

Verder is dit een leuke tutoriaal, verplichte leesvoer zegmaar
http://www.phphulp.nl/php/tutorials/3/244/

[ Bericht 13% gewijzigd door Chandler op 30-09-2008 21:41:16 ]
The people who lost my respect will never get a capital letter for their name again.
Like trump...
pi_62035723
quote:
Op dinsdag 30 september 2008 21:17 schreef Likkende_Lassie het volgende:
elke mysql query voorzien van addslashes() (magic quotes kan dan op off toch), verhelpt dat het gehele mysql injectie probleem? Of zijn er nog meer dingen om rekening mee te houden?
Bij het doorgeven van id's vooraf controleren of het daadwerkelijk een getal is, is al een prima oplossing.
hula
pi_62036040
quote:
Op dinsdag 30 september 2008 21:48 schreef NikkelCobalt het volgende:

[..]

Bij het doorgeven van id's vooraf controleren of het daadwerkelijk een getal is, is al een prima oplossing.
Als je weet dat ergens een getal in moet dan kun met idd met bijvoorbeeld intval() zorgen dat er een getal in gaat. Maar als ergens een string in moet dan heb je mysql_real_escape_string nodig. Als je strings niet controleert maakt het nauwelijks nog uit hoe goed je integers controleert, een ketting maar zo sterk als de zwakste schakel.
fokstok.nl
pi_62036103
quote:
Op dinsdag 30 september 2008 21:17 schreef Likkende_Lassie het volgende:
elke mysql query voorzien van addslashes() (magic quotes kan dan op off toch), verhelpt dat het gehele mysql injectie probleem? Of zijn er nog meer dingen om rekening mee te houden?
Nee, blind addslashes() gebruiken is niet genoeg. Dat helpt alleen bij strings, niet bij numerieke waarden.

Je kan beter geparameteriseerde query's gebruiken, bijvoorbeeld met behulp van PDO.
Wil iedereen die in telekinese gelooft nu mijn hand op steken?
| Foto's van toen en nu | Icons | Whatpulse keyboard | .NET developer? |
  dinsdag 30 september 2008 @ 22:10:47 #156
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62036521
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25		<?php
PHP
function quote_smart($value, $type = false, $NULL = false) {
   if ($NULL AND (!$value OR $value == '')){
      return NULL;
   }else{
      if ($type == 'num'){
         if (is_numeric($value)){
            return $value;
         }else{
            return '';
         }
      }else{
         if (get_magic_quotes_gpc()) {
            $value = stripslashes($value);
         }
         if(version_compare(phpversion(),"4.3.0") == "-1") {
            return mysql_escape_string($value);
         } else {
            return mysql_real_escape_string($value);
         }
      }
   }
}
?>


Is dit al wat? , is het hier 100% mee veilig, als ik het als volgt gebruik?

1
2
3		<?php
mysql_query("INSERT INTO blabla ('name') VALUES ('".quote_smart($_POST['name'])."')");
?>


EN:

1
2
3		<?php
mysql_query("SELECT name FROM blabla WHERE id = '".quote_smart($id, 'num')."' LIMIT 1");
?>


[ Bericht 57% gewijzigd door Likkende_Lassie op 01-10-2008 09:49:45 ]
pi_62036688
quote:
Op dinsdag 30 september 2008 21:56 schreef Light het volgende:

[..]

Als je weet dat ergens een getal in moet dan kun met idd met bijvoorbeeld intval() zorgen dat er een getal in gaat. Maar als ergens een string in moet dan heb je mysql_real_escape_string nodig. Als je strings niet controleert maakt het nauwelijks nog uit hoe goed je integers controleert, een ketting maar zo sterk als de zwakste schakel.
Ik zeg ook niet dat je strings niet moet controleren. Als je het verhaal gelezen had wat ik quotte dan stond daar ook in dat hij naar meer aanvullingen zocht bovenop het escapen.

Overigens zijn mijn ervaringen met databasegestuurde applicaties zijn dat in 90% van de gevallen je gegevens ophaalt (!) aan de hand van een id.
hula
  dinsdag 30 september 2008 @ 22:50:42 #158
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62037756
Ik kom er net achter als je ipv:

1
2
3		<?php
function quote_smart($value, $type, $NULL) {
?>


1
2
3		<?php
function quote_smart($value, $type = false, $NULL = false) {
?>


doet, dit stukkennnn sneller is
pi_62037808
quote:
Op dinsdag 30 september 2008 22:15 schreef NikkelCobalt het volgende:

Overigens zijn mijn ervaringen met databasegestuurde applicaties zijn dat in 90% van de gevallen je gegevens ophaalt (!) aan de hand van een id.
True. Maar je moet die gegevens er ook een keer instoppen.
fokstok.nl
pi_62043603
Idd, en je dient gewoon de input te controlleren, je weet namelijk niet wat iedere gebruiker van plan is met je website!
The people who lost my respect will never get a capital letter for their name again.
Like trump...
  woensdag 1 oktober 2008 @ 09:48:30 #161
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62043971
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25		<?php
PHP
function quote_smart($value, $type = false, $NULL = false) {
   if ($NULL AND (!$value OR $value == '')){
      return NULL;
   }else{
      if ($type == 'num'){
         if (is_numeric($value)){
            return $value;
         }else{
            return '';
         }
      }else{
         if (get_magic_quotes_gpc()) {
            $value = stripslashes($value);
         }
         if(version_compare(phpversion(),"4.3.0") == "-1") {
            return mysql_escape_string($value);
         } else {
            return mysql_real_escape_string($value);
         }
      }
   }
}
?>


Is dit al wat? , is het hier 100% mee veilig, als ik het als volgt gebruik?

1
2
3		<?php
mysql_query("INSERT INTO blabla ('name') VALUES ('".quote_smart($_POST['name'])."')");
?>


EN:

1
2
3		<?php
mysql_query("SELECT name FROM blabla WHERE id = '".quote_smart($id, 'num')."' LIMIT 1");
?>
  woensdag 1 oktober 2008 @ 11:10:04 #162
75592 GlowMouse
l'état, c'est moi
pi_62045719
Waarom zet je in je tweede query een integer tussen quotes? En bij 'num' verwacht je een integer terug te krijgen, maar krijg je soms een lege string terug.
eee7a201261dfdad9fdfe74277d27e68890cf0a220f41425870f2ca26e0521b0
pi_62046074
Omdat dat de type moet weergeven als in de functie die er boven staat weergegeven
The people who lost my respect will never get a capital letter for their name again.
Like trump...
pi_62046484
quote:
Op woensdag 1 oktober 2008 11:25 schreef Chandler het volgende:
Omdat dat de type moet weergeven als in de functie die er boven staat weergegeven
Als ik verwacht een numerieke waarde terug te krijgen, verwacht ik geen lege string.
fokstok.nl
  woensdag 1 oktober 2008 @ 11:44:21 #165
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62046524
Zo beter?

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25		<?php
PHP
function quote_smart($value, $type = false, $NULL = false) {
   if ($NULL AND (!$value OR $value == '')){
      return NULL;
   }else{
      if ($type == 'num'){
         if (is_numeric($value)){
            return $value;
         }else{
            return 0;
         }
      }else{
         if (get_magic_quotes_gpc()) {
            $value = stripslashes($value);
         }
         if(version_compare(phpversion(),"4.3.0") == "-1") {
            return mysql_escape_string($value);
         } else {
            return mysql_real_escape_string($value);
         }
      }
   }
}
?>


Is dit al wat? :) , is het hier 100% mee veilig, als ik het als volgt gebruik?

1
2
3		<?php
mysql_query("INSERT INTO blabla ('name') VALUES ('".quote_smart($_POST['name'])."')");
?>


EN:

1
2
3		<?php
mysql_query("SELECT name FROM blabla WHERE id = '".quote_smart($id, 'num')."' LIMIT 1");
?>
  woensdag 1 oktober 2008 @ 11:47:24 #166
75592 GlowMouse
l'état, c'est moi
pi_62046591
quote:
Op woensdag 1 oktober 2008 11:10 schreef GlowMouse het volgende:
Waarom zet je in je tweede query een integer tussen quotes?
eee7a201261dfdad9fdfe74277d27e68890cf0a220f41425870f2ca26e0521b0
  woensdag 1 oktober 2008 @ 12:06:08 #167
187069 slacker_nl
Sicko pur sang
pi_62047007
quote:
Op woensdag 1 oktober 2008 11:25 schreef Chandler het volgende:
Omdat dat de type moet weergeven als in de functie die er boven staat weergegeven :)
Het gaat om dit blokje code:

1
2
3
4
5
6
7
8		<?php
      if ($type == 'num'){
         if (is_numeric($value)){
            return $value;
         }else{
            return '';
         }
?>


Ik zou een trigger_error gebruiken, aangezien er duidelijk wat mis is als je een integer verwacht, maar het er geen is.

En je mag een integer gewoon binnen quotes plaatsen, dus op zich is er niks aan de hand.

Overigens zou ik PDO gebruiken voor dit soort shit, maar iedereen leest gewoon over SR's post heen. Dan heb je een deel van deze code niet nodig..

Ik zou je functie zo schrijven..
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28		<?php
function quote_smart($value, $type = false, $NULL = false) {
        $value = trim($value);

        if (strlen($value)) {
                # We have something
                if ($type == 'num'){
                        if (is_numeric($value)){
                                return $value;
                        } else {
                                trigger_error(sprintf("%s: '%s' is not a number!", __FUNCTION__, $value), E_USER_ERROR);
                                return null;
                        }
                }
        } else {
                if ($NULL) {
                        return null;
                }
        }
        return $value;

}

var_dump(quote_smart(0, 'num', true)); # Hier breekt je huidige code blok op
var_dump(quote_smart("Bla", 'string', true));
var_dump(quote_smart(" ", 'string'));
var_dump(quote_smart("Bla", 'num', true)); # Error
?>


https://devzone.zend.com/(...)revent-SQL-Injection
http://www.phpro.org/tutorials/Introduction-to-PHP-PDO.html

In reactie op je nieuwe code, ipv if is_numeric else return 0, dan kan je gelijk intval gebruiken, zie de documentatie hiervan: The integer value of var on success, or 0 on failure.
In theory there is no difference between theory and practice. In practice there is.
pi_62047114
quote:
Op woensdag 1 oktober 2008 11:44 schreef Likkende_Lassie het volgende:
Zo beter?
[...]
De functie heet "quote_smart", maar er wordt niets ge-quote. Het is een encoding functie.
De $type parameter heeft alleen betekenis voor 'num', of ongelijk 'num'. Het lijkt me logischer om verschillende functies voor verschillende datatypes te maken.
Dat de functie NULL terug kan geven heeft denk ik weinig nut. Als je de functie zo maakt dat de string inclusief quotes wordt teruggegeven of indien leeg de string NULL, dan kan je 'm wel makkelijk in een sql string gebruiken.
Als een parameter numeriek hoort te zijn maar dat niet is wil ik gewoon een error krijgen. Zo maar omzetten naar 0 kan ook vervelende dingen opleveren.

Geparameteriseerde query's blijf ik een mooiere oplossing vinden
Wil iedereen die in telekinese gelooft nu mijn hand op steken?
| Foto's van toen en nu | Icons | Whatpulse keyboard | .NET developer? |
  woensdag 1 oktober 2008 @ 12:56:10 #169
85919 Likkende_Lassie
Doe eens wat aan je ondertitel
pi_62048010
Je hebt gelijk, een foutmelding zou het moeten zijn.
Een oude functie die ik gebruikte, is:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30		<?php
function secureValue($value, $html){

   if (!$html){
     $value = strip_tags($value, '<b>,<a>,<i>,<u>,<img>');
   }else{
      $value = htmlnumericentities($value);
   }
   if (!$value){
      $value = NULL;
   }

   switch (gettype($value)) {
      case 'boolean':
         return $value ? '1' : '0';
      case 'integer':
      case 'double':
         return (string)$value;
      case 'string':
         return "'".addslashes($value)."'";
      case 'array':
      case 'object':
         return "'".addslashes($value)."'";
      default:
         //'resource', 'NULL', 'unknown type'
         return 'NULL';
         die();
   }
}
?>
pi_62054533
quote:
Op woensdag 1 oktober 2008 12:06 schreef slacker_nl het volgende:

Ik zou een trigger_error gebruiken, aangezien er duidelijk wat mis is als je een integer verwacht, maar het er geen is.
Niet alleen integers zijn numeriek. Ook floats zijn dat, om eens een voorbeeld te noemen.
quote:
En je mag een integer gewoon binnen quotes plaatsen, dus op zich is er niks aan de hand.
Dat het mag en dat het werkt wil niet zeggen dat het good programming practice is en ook niet dat we er geen opmerkingen over mogen maken.
quote:
Overigens zou ik PDO gebruiken voor dit soort shit, maar iedereen leest gewoon over SR's post heen. Dan heb je een deel van deze code niet nodig..
Goed punt. Al vraag ik me af of alle hosters PDO ondersteunen.
quote:
Ik zou je functie zo schrijven..
[ code verwijderd ]

https://devzone.zend.com/(...)revent-SQL-Injection
http://www.phpro.org/tutorials/Introduction-to-PHP-PDO.html

In reactie op je nieuwe code, ipv if is_numeric else return 0, dan kan je gelijk intval gebruiken, zie de documentatie hiervan: The integer value of var on success, or 0 on failure.
Wat doe je dan bij een float?
fokstok.nl
  woensdag 1 oktober 2008 @ 17:21:29 #171
187069 slacker_nl
Sicko pur sang
pi_62055059
quote:
Op woensdag 1 oktober 2008 17:01 schreef Light het volgende:
Niet alleen integers zijn numeriek. Ook floats zijn dat, om eens een voorbeeld te noemen.
Dan gebruik je is_int().. of je retouneert intval($value);
quote:
Dat het mag en dat het werkt wil niet zeggen dat het good programming practice is en ook niet dat we er geen opmerkingen over mogen maken.
Dit punt vervalt als je PDO gebruikt (en dat gebruik ik alleen maar icm prepared statements). Of ik nou id = '1' of id = 1 invul, zal me verder jeuken.. En je mag er wat van zeggen, maar ik mag toch ook zeggen dat het niet zo hinderlijk is als iemand het doet aangezien het gewoon verwerkt wordt (zonder warning of wat dan ook..).
quote:
Goed punt. Al vraag ik me af of alle hosters PDO ondersteunen.
Andere hoster zoeken die wel met de tijd meegaat.
quote:
Wat doe je dan bij een float?
Zie hierboven, desnoods breidt is z'n functie uit zodat ie alle verschillende datatypes kan checken..

Verder kan je met PDO ook definieren wat een bepaald ding moet zijn:

1
2		$sth->bindParam(':calories', $calories, PDO::PARAM_INT);
$sth->bindParam(':colour', $colour, PDO::PARAM_STR, 12);
In theory there is no difference between theory and practice. In practice there is.
pi_62074530
Weet iemand een tootlje om 2 databases met elkaar te vergelijken en dan de verschillen in een statement kan zetten die ik kan gebruiken om een database aan te passen?
The people who lost my respect will never get a capital letter for their name again.
Like trump...
  donderdag 2 oktober 2008 @ 13:16:57 #173
63192 ursel
"Het Is Hier Fantastisch!
pi_62074883
quote:
Op donderdag 2 oktober 2008 13:05 schreef Chandler het volgende:
Weet iemand een tootlje om 2 databases met elkaar te vergelijken en dan de verschillen in een statement kan zetten die ik kan gebruiken om een database aan te passen?
Oe.. dat zou wel flex wezen.. Ben ik ook wel benieuwd naar..
  donderdag 2 oktober 2008 @ 13:58:19 #174
187069 slacker_nl
Sicko pur sang
pi_62076234
http://www.clevercomponents.com/products/dbcvcl/dbcvcl.asp
In theory there is no difference between theory and practice. In practice there is.
pi_62099147
dat is idd ongeveer wat ik bedoel maar dan nu liefst gratis
The people who lost my respect will never get a capital letter for their name again.
Like trump...
pi_62134256
Ik weet niet of het om de inhoud van de tabel of om de structuur gaat, maar ik heb ver in het verleden deze wel eens gebruikt:

http://www.mysqldiff.org/index.php
  zondag 5 oktober 2008 @ 00:05:19 #177
63192 ursel
"Het Is Hier Fantastisch!
pi_62139040
quote:
Op zaterdag 4 oktober 2008 20:21 schreef spaceninjapirate het volgende:
Ik weet niet of het om de inhoud van de tabel of om de structuur gaat, maar ik heb ver in het verleden deze wel eens gebruikt:

http://www.mysqldiff.org/index.php
Ik ben altijd wel huiverig met software waarbij de laatste release datum al erg lang geleden is..
quote:
Version 1.5.0 (10/01/2004)
  zondag 5 oktober 2008 @ 00:20:18 #178
75592 GlowMouse
l'état, c'est moi
pi_62139414
quote:
Op zondag 5 oktober 2008 00:05 schreef ursel het volgende:

[..]

Ik ben altijd wel huiverig met software waarbij de laatste release datum al erg lang geleden is..
[..]

http://mirrors.kernel.org/gnu/patch/

Als het doet wat het moet doen, is er weinig reden om het versienummer maar te verhogen om maar een nieuwe versie te hebben.
eee7a201261dfdad9fdfe74277d27e68890cf0a220f41425870f2ca26e0521b0
pi_62139526
quote:
Op zondag 5 oktober 2008 00:20 schreef GlowMouse het volgende:

[..]

http://mirrors.kernel.org/gnu/patch/

Als het doet wat het moet doen, is er weinig reden om het versienummer maar te verhogen om maar een nieuwe versie te hebben.
Je kunt je natuurlijk afvragen of het nog wel doet wat het moet doen. MySQL is in de afgeloen vier jaar ook behoorlijk veranderd.
fokstok.nl
pi_62149477
Ik zal het volgende week even testen en dan hier raporteren hoe het werkte!!
The people who lost my respect will never get a capital letter for their name again.
Like trump...
actieve topics nieuwe topics
abonnement Unibet Coolblue Bitvavo
[PHP/(My)SQL] voor dummies - Deel 63
Index

» digital corner

» development

Forum Opties
Forumhop:
Hop naar:
(afkorting, bv 'KLB')