MySQL Verbindung ohne PHP API

jonas.e · 3. März 2014, 17:52

beage schrieb:

jonas.e schrieb:

Genau, so möchte ich die Datenbank auslesen.
Aber wie bekomme ich die Daten, die der User in der App angibt, in die Datenbank?

Genauso. Du schickst die Daten an das Script per GET und das Script trägt sie in die Datenbank ein. Wo ist das Problem?

Wie gesagt, mit der entsprechenden URL könnte dann ja theoretisch jeder über einen Browser Daten eintragen.
Ich bin zwar eigentlich der einzige der diese URL kennt, aber ganz sicher kommt mir das nicht vor. Oder liege ich da falsch?

beage · 3. März 2014, 17:56

jonas.e schrieb:

Wie gesagt, mit der entsprechenden URL könnte dann ja theoretisch jeder über einen Browser Daten eintragen.
Ich bin zwar eigentlich der einzige der diese URL kennt, aber ganz sicher kommt mir das nicht vor. Oder liege ich da falsch?

Naja, Du musst Dein PHP-Script schon so sicher machen, dass das nicht passiert. Stichworte: Plausibilitätsprüfung, SQL-Injection

jonas.e · 3. März 2014, 18:03

beage schrieb:

Naja, Du musst Dein PHP-Script schon so sicher machen, dass das nicht passiert. Stichworte: Plausibilitätsprüfung, SQL-Injection

Okay, das sagt mir erstmal nicht viel, aber ich werde mich damit beschäftigen.

gritsch · 3. März 2014, 18:06

jonas.e schrieb:

beage schrieb:

jonas.e schrieb:

Genau, so möchte ich die Datenbank auslesen.
Aber wie bekomme ich die Daten, die der User in der App angibt, in die Datenbank?

Genauso. Du schickst die Daten an das Script per GET und das Script trägt sie in die Datenbank ein. Wo ist das Problem?

Wie gesagt, mit der entsprechenden URL könnte dann ja theoretisch jeder über einen Browser Daten eintragen.
Ich bin zwar eigentlich der einzige der diese URL kennt, aber ganz sicher kommt mir das nicht vor. Oder liege ich da falsch?

im prinzip schon, du kannst es zwar nicht 100% sicher verhindern aber einige einfache möglichkeiten das zu unterbinden hat man schon.

beage · 3. März 2014, 18:09

jonas.e schrieb:

Okay, das sagt mir erstmal nicht viel, aber ich werde mich damit beschäftigen.

dringendst zu empfehlen!

gritsch · 3. März 2014, 18:11

beage schrieb:

jonas.e schrieb:

Okay, das sagt mir erstmal nicht viel, aber ich werde mich damit beschäftigen.

dringendst zu empfehlen!

und dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

jonas.e · 3. März 2014, 18:18

gritsch schrieb:

und dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

Oha, was bedeutet das jetzt wieder?

Ich hatte bisher vor die Daten als escapte Strings zu übergeben.
Wie sehen diese korrekten APIs aus?
Sorry für diese wahrscheinlich ziemlich amateurhaften Fragen.

gritsch · 3. März 2014, 18:21

jonas.e schrieb:

gritsch schrieb:

und dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

Oha, was bedeutet das jetzt wieder?
Ich hatte bisher vor die Daten als escapte Strings zu übergeben.
Wie sehen diese korrekten APIs aus?
Sorry für diese wahrscheinlich ziemlich amateurhaften Fragen.

übertragen kannst du die daten wie du willst, nur eben beim einfügen in die datenbank ist vorsicht geboten.
aber dazu wirst du schon mehr erfahren wenn du dich zb über "sql injection" informierst.

beage · 3. März 2014, 18:56

gritsch schrieb:

nd dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

Wenn er was Selbstgebasteltes verwendet, wird es schwer mit der API

gritsch · 3. März 2014, 19:01

beage schrieb:

gritsch schrieb:

nd dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

Wenn er was Selbstgebasteltes verwendet, wird es schwer mit der API

wie/was meinst du?

beage · 3. März 2014, 19:15

gritsch schrieb:

wie/was meinst du?

Ich hab die <ironie> tags vergessen

Amin Negm-Awad · 3. März 2014, 19:37

Ich hatte dir die Lösung schon gesagt: Objective-Cloud.com

Nein, du brauchst kein PHP.

Nein, du brauchst dich nicht um escaped Strings kümmern.

Nein, du brauchst dich nicht lang um eine API zu kümmern.

Auf dem Server reicht ein winziges Objective-C-Programm:

http://objective-cloud.com/docs/invocation-based-applications/#Creating_a_Service

In der Client-App reicht:

[MyService addUserWithName:… password:…]

Amin Negm-Awad · 3. März 2014, 19:38

gritsch schrieb:

man versteht nicht was dein ziel ist...
warum sollte eine app selbst usernamen und passworte in deine DB eintragen können?
das macht man doch über ein admin-interface getrennt vom enduser-app)

Ich habe das sofort verstanden.

Und es geht überhaupt nicht um irgendein Admin-Interface. Davon hat er auch nie ein Wort gesprochen.

Amin Negm-Awad · 3. März 2014, 19:40

gritsch schrieb:

jonas.e schrieb:

gritsch schrieb:

und dann bitte die korrekten APIs verwenden und nicht anfangen strings zu escapen

Oha, was bedeutet das jetzt wieder?
Ich hatte bisher vor die Daten als escapte Strings zu übergeben.
Wie sehen diese korrekten APIs aus?
Sorry für diese wahrscheinlich ziemlich amateurhaften Fragen.

übertragen kannst du die daten wie du willst, nur eben beim einfügen in die datenbank ist vorsicht geboten.
aber dazu wirst du schon mehr erfahren wenn du dich zb über "sql injection" informierst.

Bei etwas außerordentlich Definiertem, dürfte sich eine SQL-Injectionleicht verhindern lassen.

jonas.e · 3. März 2014, 22:10

Amin Negm-Awad schrieb:

Ich hatte dir die Lösung schon gesagt: Objective-Cloud.com

Hallo Amin Negm-Awad,
danke für deine Antwort. Ich habe mir das Angebot gerade mal angeschaut. Sehr interessant.
Leider kann ich zur Zeit dafür kein Geld ausgeben.
Aber danke für den Tipp

Amin Negm-Awad · 4. März 2014, 06:55

Das Angebot ist ja erst kostenpflichtig, wenn du verkaufst.

kmr · 4. März 2014, 13:09

Einen hammwer noch: Bei der Arbeit mit Datenbanken ist die SQL Injection nur ein Risiko. Im Zweifelsfall also lieber vorher jemanden fragen, der sich damit auskennt, bevor man blind mit Maßnahmen gegen Einzelbedrohungen ("Escaping") um sich wirft.

Manfred Kreß · 4. März 2014, 14:26

Das lässt ja tief blicken.

Mal was prepared statements gehört im Zusammenhang mit SQL Injection?

Amin Negm-Awad · 5. März 2014, 09:10

Ebenda™. Jedes halbwegs vernünftige Framework bietet das an. Man muss es einfach nur das Statement selbst erzeugen lassen.

kmr · 5. März 2014, 09:43

Amin Negm-Awad schrieb:

Ebenda™. Jedes halbwegs vernünftige Framework bietet das an. Man muss es einfach nur das Statement selbst erzeugen lassen.

Was aber nicht davon entbindet, Datenmodell, Datenablage und Rechtevergabe sinnvoll zu gestalten. Denn beim am Freitag um 18 Uhr dringend auf Kundenwunsch einzubauenden Update 38a wird der findige Programmierer "mal eben®" um das Framework herum auf die DB zugreifen und dem Herrn Lulzsec damit vollen Zugriff auf die gesamte DB geben. Und wenn es dann aufgrund sinnvoll vergebener Rechte und starker Passwörter nur die Tabelle mit den Sessions trifft, ist das nicht ganz so blöd wie der Vollzugriff auf unverschlüsselte abgelegte Passwörter aller Benutzer, deren Kontodaten und die Liste der gekauften FSK-Filme. Defense in depth und so, wissenschon. Was mich wieder zu dem hier bringt.

MySQL Verbindung ohne PHP API

beage schrieb:

jonas.e schrieb:

jonas.e schrieb:

beage schrieb:

jonas.e schrieb:

beage schrieb:

jonas.e schrieb:

jonas.e schrieb:

beage schrieb:

jonas.e schrieb:

gritsch schrieb:

jonas.e schrieb:

gritsch schrieb:

gritsch schrieb:

beage schrieb:

gritsch schrieb:

gritsch schrieb:

gritsch schrieb:

gritsch schrieb:

jonas.e schrieb:

gritsch schrieb:

Amin Negm-Awad schrieb:

Amin Negm-Awad schrieb:

Tags

Ähnliche Themen