Hilfe bei beheben von SQL Injection

Guten Tag,

Hier vorab der Code um den es sich handelt: https://pastebin.com/5i958sTm

Ich habe ein sehr großes Problem bei diesem Code mit den Sicherheitslücken.

Wie komme ich darauf?

Ich habe mein Code vorsichtshalber mal mit einem Online Tool prüfen lassen, dabei kam heraus, dass ein hohes Risiko für SQL Injections besteht. Kann mir jemand helfen bei meinem Problem?

Ich danke im vorraus

Zitat von basti1012

Mal nee andere Frage, ist der Code so in der benutzung ?

Du ballerst da paar mal die gleiche abfragen rein , mischt alles mit prepare statements und mal wieder ohne.

Wenn ich das richtig sehe kann man da bestimmt die hälte rauswerfen.

Das benutzt du 2 mal

Code

if (isset($_GET['id'])) {

da reicht auch 1 mal.

Was soll das

PHP

<?php
   require('connection/db1.php');
 
   $statement = $bdd->prepare("SELECT * FROM con WHERE id = :id");
   $statement->execute(array(":id" => $_GET["id"]));   
    while($row = $statement->fetch()) {
 
    }
 
$statement2 = $bdd->prepare("SELECT * FROM convoy_part WHERE user_convoy = :convoy");
$statement2->execute(array(":convoy" => $_GET["id"]));   
while($row = $statement2->fetch()) {
 
}
 
?>

Alles anzeigen

Ich verstehe nicht was das soll ? Ich sehe auch nicht weiter unten im Code das du die Variabeln $statement ,$statement2 benutzt.

Variable $row schon aber die werden durch deinen erneuten Abfragen ja wieder überschrieben.

Aber vieleicht habe ich was übersehen.Warten wir mal ab was die anderen noch so sagen

Alles anzeigen

Hallo,

Natürlich ist das nicht der ganze Code aber ich kann dir diesen ja mal schicken.

Zitat von m.scatello

Wenn du diesen Quellcode mal aufräumst und den teilweise sinnlosen Quellcode entfernst und dann noch ordentlich einrückst, dann sieht sich das vielleicht auch mal jemand an.

So ich habe den Code nochmals bereinigt ich hoffe, dass man ihn so besser lesen kann. Außerdem habe ich noch dazugeschrieben was für welche funktion zuständig ist. Ich weiß da ist noch luft nach oben aber ich versuche mir immer mehr erfahrung beizubringen.

Hier der neue Code: https://pastebin.com/VkwyFCc9

Okay das habe ich natürlich ganz vergessen werde ich gleich ändern. Ich werde nochmal #2 u. #3 durchlesen

Zitat von basti1012

Es wäre toll, wenn du deine alten Beiträge nicht änderst bzw. löscht.
Hätte gerne nochmal den vorliegen Code mit den neuen verglichen.
Der kommt mir immer noch zu voll vor.
Die Hinweiße die im #2, und #3 gegeben wurde hast du auch noch nicht geändert.
Erkläre mal bitte das.

Code

require('connection/db1.php');
include 'connection/sql1.php';
include("connection.php");
include("connection.php");
include("connection.php");

5 mal connect zur Datenbank eingebunden von 3 verschiedene Dateien ?

Ich kein Profi, aber irgendwie kann das nicht okay sein.bin

https://hastebin.com/roxukadoye.xml

Zitat von m.scatello

Was erhoffst du dir von

Code

$statement = $bdd->prepare("SELECT * FROM con WHERE id = :id");
$statement->execute(array(":id" => $_GET["id"]));   
while($row = $statement->fetch()) { 
}
// Wird benötigt um Teilnehmer in der Liste anzuzeigen (funktioniert jedoch noch nicht ganz)
$statement2 = $bdd->prepare("SELECT * FROM convoy_part WHERE user_convoy = :convoy");
$statement2->execute(array(":convoy" => $_GET["id"]));   
while($row = $statement2->fetch()) {
}

Was meinst du genau?

Falls du diesen Code meinst:

$statement = $bdd->prepare("SELECT * FROM con WHERE id = :id");
$statement->execute(array(":id" => $_GET["id"]));   while($row = $statement->fetch()) { }

Diesen habe ich gerade entfernt

$statement = $bdd->prepare("SELECT * FROM con WHERE id = :id");
$statement->execute(array(":id" => $_GET["id"]));   
while($row = $statement->fetch()) { 
}

Das habe ich bereits entfernt. Das ist nur im hastebin nicht geändert

$statement2 = $bdd->prepare("SELECT * FROM convoy_part WHERE user_convoy = :convoy");
$statement2->execute(array(":convoy" => $_GET["id"]));   
while($row2 = $statement2->fetch()) {
}

Das möchte ich für die Teilnehmerliste nutzen, jedoch funktioniert das ganze noch nicht ganz

Zitat von m.scatello

"funktioniert nicht" ist keine Problembeschreibung.

Code

while($row2 = $statement2->fetch()) {
}

Solange du mit $row2 nichts machst, ist dieser Block einfach nur Quatsch.

Wo ist denn jetzt der aktuelle Quellcode einzusehen?

Das ist der aktuelle Quellcode: https://hastebin.com/ciqasahada.xml

*Zu der Liste.

Ich habe noch eine alte version mit der die Liste funktioniert, dennoch habe ich die befüchtung das darin auch ein SQL Injection Fehler ist

$s2 = $bdd->query("SELECT * FROM convoy_part WHERE user_convoy=".$_GET['id']);

<table class="table">
                                <thead>
                                    <tr>
                                    <th scope="col">#</th>
                                    <th scope="col">User</th>
                                    <th scope="col">Datum</th>
                                    <th scope="col"><a class="btn btn-primary" href="convoy_user.php?id=<?php echo $user2['id']; ?>&action=part" role="button">Teilnehmen</a></th>
                                    </tr>
                                </thead>
                            <tbody>
                        <?php
                        while($data = $s2->fetch()){
                        ?>
                        <tr>
                            <th scope="row"><?php echo $data['id']; ?></th>
                            <td><?php echo $data['name']; ?></td>
                            <td><?php echo $data['date']; ?></td>
                        </tr>
                     <?php
                        }
                        ?>
                  </tbody>
                </table>

Zitat von m.scatello

Das ist doch immer noch ein Durcheinander. Teilweise PDO, teilweise mysqli*-Funktionen und der PHP-Teil ist immer noch nicht vernünftig eingerückt.

Und bevor ich es vergesse: http://net.co.at/doc/howto/docs/dclp-faq/q/q-sql-select.html

Ich denke ob es jetzt ein bisschen durcheinander ist erstmal egal. Erstmal müssen die Fehler raus damit man nichts mehr böses anstellen kann

Also wenn ich das richtig verstehe soll ich nicht SELECT * machen sondern SELECT user_convoy, date FROM convoy_part WHERE user_convoy = :convoy