AmfPHP und SQL-Injection

[gaspode]

Hallo.

Habe schon viel in diesem Forum gelesen und bin dabei
über SQL_Injection gestolpert. Den Artikel bei Wikipedia
habe ich auch gelesen.

Dort steht z.B. man sollte bei PHP statt

$abfrage = "SELECT spalte1
            FROM tabelle
            WHERE spalte2 = '".$_POST['spalte2Wert']."'";
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");

lieber folgendes schreiben.

$abfrage = "SELECT spalte1
            FROM tabelle
            WHERE spalte2 = '".mysql_real_escape_string($_POST['spalte2Wert'])."'";
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");

Aber hier findet ja jedes Mal ein Aufruf über $_POST statt
und diesen habe ich ja bei AmfPHP nicht, da die Werte
ja direkt als Methoden-Parameter kommen. Ich habe z.B.
folgende Methode.

PHP-Code:

public function getEntryById( $id )
{
  $call = mysql_query( "SELECT title, client WHERE id =".$id );
        
  if( $call )
  {
    $row = mysql_fetch_object( $call );
        
    $returnArray = array();
            
    $returnArray["title"] = $row->title;
    $returnArray["client"] = $row->client;
        
    return $returnArray;
  }
  else
  {
    return false;
  }
} 


Muss ich jetzt die von Flash kommende $id auch irgendwie escapen
(und wenn ja wie?) oder treten hier diese Risiken nicht auf, da der
Wert nicht über $_POST in die PHP-Methode gelangt?

gruß, gaspode

[mohj]

Hallo. MySQL Injection sollte auch bei AmfPHP möglich sein. Das Problem ist nicht die Methode (Post, Get oder was auch immer), sondern der Inhalt. Am besten und schnellsten funktioniert eine Vorbeugung, wenn deine Datenbank etwas mit MySQLi anfangen kann. Dadurch kannst du Prepared Statements verwenden, das heisst, die Datenbankabfrage wird zuerst vorbereitet und erst dann geschickt.

PHP-Code:

$query = 'SELECT title, client WHERE id = ?';
  
  $command = mysqli_prepare($query);
  //Abfrage wird vorbereitet mit den zu erwartenden Werten, s für String, i für Integer usw.
  mysqli_stmt_bind_param($command, 'i', $id);  
  $call = mysqli_stmt_execute($command); 


Falls nicht, kannst du das Escapen auch selber vornehmen und mittels sprintf auf korrekten Inhalt überprüfen:

PHP-Code:

$query = sprintf('SELECT title, client WHERE id = \'%i\'', mysql_real_escape_string($id));
  $call = mysql_query($query); 


[gaspode]

Danke für die Infos.

gruß, gaspode

[mohj]

Mir ist grad noch aufgefallen, dass ein Integerwert bei sprintf ein "d" und nicht ein "i" ist. Wird sonst nicht funktionieren.

[gaspode]

Wofür steht denn das hier eigentlich?

\'%i\' bzw. \'%d\'

gruß, gaspode

[mohj]

Hallo. Das sind Platzhalter mit einer Typisierung, welche mit den Argumenten nach dem Komma gefüllt werden. Dadurch stellst du sicher, dass der übermittelte Wert "id" auch wirklich eine Zahl ist und nicht wie bei einer MySQL Injection ein String.

[gaspode]

Ja, habe es mittlerweile auch bei php.net gefunden.
Danke nochmal für die infos.

gruß, gaspode

[gaspode]

Hmm, irgendwie bekomme ich das nur zum laufen, wenn ich die \' weglasse.

$query = sprintf('SELECT title, client WHERE id = %d", mysql_real_escape_string($id));

Macht das einen Unterschied?

gruß, gaspode