Szerző Téma: SQL érték megváltoztatása (Megtekintve 3374 alkalommal)

Somax02 · « **Dátum:** 2017. június 26. - 08:30:34 »

Sziasztok!

Van egy bejelentkező panelem és, ha bejelentkezel és mondjuk változik a pénzed akkor az SQL - ben is meg kell változnia a pénzednek. Ahhoz, hogy megváltozzon az SQL - ben kell egy felhasználónév.

      mysql_query(Database, \"SELECT * FROM `accounts` WHERE `Username` = \'\"..Username..\"\'\")


[/quote]

A Username - et, hova/mibe érdemes lementeni, illetve mibe biztonságos?

thegergo02 · « **Válasz #1 Dátum:** 2017. június 26. - 11:50:47 »

Idézetet írta: Somax02 date=1498458634

      A Username - et, hova/mibe érdemes lementeni, illetve mibe biztonságos?

A jelszót titkosítani, de ne felhasználónévről keress. Hanem AI val csinálj egy id oszlopot, és csak egyszer a felhasználónévvel lekéred azt az ID-t majd elementDatázod. Aztán:


mysql_query(Database, \"SELECT * FROM `accounts` WHERE `id` = \'\"..getElementData(telefonrol nem tudom a szintaxist)..\"\'\")

//telo

Somax02 · « **Válasz #2 Dátum:** 2017. június 26. - 11:54:21 »

Rendben! Köszönöm szépen a választ, ezzel sokat segítettél!

asdpudingasd · « **Válasz #3 Dátum:** 2017. június 27. - 17:41:03 »

https://www.w3schools.com/SQL/sql_update.asp
Ezen az oldalon megtalálod a választ a kérdésedre

thegergo02 · « **Válasz #4 Dátum:** 2017. június 30. - 14:00:30 »

Idézetet írta: asdpudingasd date=1498578063

      https://www.w3schools.com/SQL/sql_update.asp
      Ezen az oldalon megtalálod a választ a kérdésedre

Neki nem ez volt a kérdése.

MakroBox · « **Válasz #5 Dátum:** 2017. július 23. - 17:03:56 »

Nah.. Csak kérlek (!!!!), nagyon szépen kérlek (!!!!!!!!!!!), ne használj string-összevonást (nem tudom, hogy hívjam magyarul, de: ..-öt), mert előbb-utóbb olyan SQL injektált szervered lesz, hogy szép lesz nézni. Nézz majd utána.. Én dbQuery()-t használok, ott is stringben kell megadni a \"parancsot\", és utána a paramétereket.

Nézzünk egy példát SQL injektálásra:A kód:


myQuery = dbQuery(connection, \"SELECT * FROM accounts WHERE name = \'\".. megadottNev .. \"\' AND pass = \'\".. megadottJelszo .. \"\' LIMIT 1)

Ha emberünk felhasználónévnek megad egy admin fiókot (pl. MakroBox), (és jelszónak egy 1\' OR \'1\' = \'1), akkor a query így fog kinézni:


myQuery = dbQuery(connection, \"SELECT * FROM accounts WHERE name = \'MakroBox\' AND pass = \'1\' OR \'1\' = \'1\' LIMIT 1)

Azaz megtalálja azokat a sorokat, ahol a felhasználónév MakroBox, és a jelszó 1, VAGY 1 = 1 (AMI MINDIG IGAZ!!), azaz meg fogja találni a MakroBox accountot, és átenged.

Nem tudom, hogy ez hogyan működik mysql_query-nél, de az 90%, hogy ott sincs kivédve az injektálás, és valamilyen ilyesmi dolgot kell alkalmazni.

id100 · « **Válasz #6 Dátum:** 2017. július 23. - 17:08:28 »

MTASA-ban nincs SQL injection, mielőtt lefutna csinál rajta tisztítást. (Wiki)

MakroBox · « **Válasz #7 Dátum:** 2017. július 23. - 17:10:39 »

Idézetet írta: id100 date=1500822508

      MTASA-ban nincs SQL injection, mielőtt lefutna csinál rajta tisztítást. (Wiki)

Áá, az remek..
Egy linket azért küldesz, hogy ránézzek?

id100 · « **Válasz #8 Dátum:** 2017. július 23. - 18:00:22 »

DBQuery functionnak van a leírásába.

Mi kipróbáltuk, nem működött az injection.

AlexSwamp · « **Válasz #9 Dátum:** 2017. július 23. - 21:52:45 »

Idézetet írta: id100 date=1500825622

      DBQuery functionnak van a leírásába.


      Mi kipróbáltuk, nem működött az injection.

Akkor nem jót próbáltatok!

MakroBox · « **Válasz #10 Dátum:** 2017. július 23. - 22:07:26 »

Idézetet írta: AlexSwamp date=1500839565

      Akkor nem jót próbáltatok!

Akkor jól tudtam..

id100 · « **Válasz #11 Dátum:** 2017. július 24. - 01:19:00 »

Pedig ugyanezt próbáltuk amit leírt ide az előbb hogy ilyet ne

Somax02 · « **Válasz #12 Dátum:** 2017. július 24. - 07:48:51 »

Idézetet írta: MakroBox date=1500822236

      Ha emberünk felhasználónévnek megad egy admin fiókot (pl. MakroBox), (és jelszónak egy 1\' OR \'1\' = \'1)

Ez akkor sem biztonságos, hogyha amikor bejelentkezik a jelszót kódolja md5, sha256 stb - be?

thegergo02 · « **Válasz #13 Dátum:** 2017. július 24. - 09:04:13 »

Idézetet írta: id100 date=1500825622

      DBQuery functionnak van a leírásába.


      Mi kipróbáltuk, nem működött az injection.

Én nem találom.

Somax02 · « **Válasz #14 Dátum:** 2017. július 24. - 09:12:39 »

https://wiki.multitheftauto.com/wiki/ExecuteSQLQuery

      (SQL injection is rendered impossible)


[/quote]

ExecuteSQLQuery nincsen injection. Mysql_query - nél van injection, én is kipróbáltam valóban működik. Viszont azt nem tudom, hogy hogyan tudnám elkerülni.