Browsergames (Techniken)

[Antares]

@DFYX & Jeez:
Danke für die Tutorials !


Ich wollte gerne mal eine Injection testen.
Also hab ich mir nen Code zusammengebastelt.
Leider funktioniert das nicht...

test.php

PHP-Code:

<?php
$verbindung = mysql_connect ("...",
        "...", "...")
        or die ("keine Verbindung möglich.
         Benutzername oder Passwort sind falsch");
        
        mysql_select_db("usr_web455_4")
        or die ("Die Datenbank existiert nicht.");
    //Dateien ausgeben

$id=$_GET["id"];

$abfrage = "SELECT * FROM test WHERE id='$id'";
$ergebnis = mysql_query($abfrage);


?>

form.php

HTML-Code:

<form action="test.php" method="GET">
<input type="text" name="id"><br />

<input type="submit" value="Submit">
</form>

Ins Input schreibe ich 1'"; $abfrage="DELETE FROM test"; //
Trotzdem funktioniert es nicht...

[mitaki]

Ins Input schreibe ich 1'"; $abfrage="DELETE FROM test"; //

...

Das wäre auch ein PHP Skript,d as du da absendest, so geht das nicht! Die Injection geschieht ja innerhalb einer Zeichenkette, die als Query asgeführt wird.

PHP-Code:

$abfrage = "SELECT * FROM test WHERE id='$id'"; 

Eine Injection müsste so aussehen: 1'; DELETE FROM `test` WHERE '1'='1

Damit lautet die Abfrage:

PHP-Code:

$abfrage = "SELECT * FROM test WHERE id='1'; DELETE FROM `test` WHERE '1'='1'"; 

Womit du zwei funktionsfähige Queries hast.

PHP lässt es aber nicht ganz so einfach zu:

1. Magic Quotes escapen einige Sonderzeichen. Diese Einstellung ist sehr oft aktiviert, fällt aber in der nächsten Version von PHP weg. Dann ist die Einstellung unveränderlich deaktiviert, d.h. keine maskierung mehr.
2. MySQL-Sicherheitsmechanismus: Nur eine Abfrage kann innerhalb von mysql_query() ausgeführt werden. Wiege dich da aber nicht in Sicherheit, das ist kein Schutz. Vor allem wenn die Magic Quotes bald deaktiviert werden.

[Jesus_666]

MySQL-Sicherheitsmechanismus: Nur eine Abfrage kann innerhalb von mysql_query() ausgeführt werden. Wiege dich da aber nicht in Sicherheit, das ist kein Schutz. Vor allem wenn die Magic Quotes bald deaktiviert werden.

...

Yup. Man kann nämlich auch aus zwei Abfragen einfach eine Abfrage mit zwei Unterabfragen machen. SQL ist ziemlich mächtig.

[Antares]

@mitaki:

Ehrlich gesagt hab ichs mit deiner Methode auch schon versucht, allerings ohne WHERE bei DELETE.
Hat mich zu keinem Erfolg geführt, und deshalb habe ich die Variante mit dem PHP Script versucht.

Hing vllt an den von dir erwähnten Sicherheitsmaßnahmen.

*Edit*

Nein, so funktioniert es nicht.
Selbst dann nicht, wenn ich den Code per Hand ins Script schreibe.

PHP-Code:

$abfrage = "SELECT * FROM test WHERE id='1'; DELETE FROM `test` WHERE '1'='1'";