MySQL injection

[Globestern]

hi =)

mein erster beitrag hier und gleich eine frage *g* ich sollte mich schämen.. ^^

also ein kollege führt so eine community wo jeder user ein foto etc. uploaden kann (um den kommentaren vorzubeuen - ja, es ist wirklich von nem kollegen und ich wills nicht hacken )

jetzt wird so ziemlich alles da mit ID's übergeben.. jetzt wollt ich ihm mal darauf hinweisen, dass dat alles ziemlich unsecure ist.. aber damit ich nicht ins fettnäpfchen trete, frage ich lieber zuerst hier nach... *g*

also die url sieht folgendermassen aus:

http://blabla/usersearch___.html?geschlecht=w&altervon=1996&alterbis=1994&land=AO&kanton=&online=1

wenn ich da das w durch ein ' ersetze passiert folgendes:

"Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /home/blabla/public_html/includes/community/usersearch.inc on line 150mitglieder gefunden

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /home/blabla/public_html/includes/community/usersearch.inc on line 155"

hm wie siehts aus. wäre da ne injection möglich oder siehts gut aus für ihn? ^^

greetz

 

[sirphreak]

Hallo,

Wir besitzen hier eine Suchfunktion und ein Wiki.

Ausserdem gibt es Boardregeln und eine eine Zusammenfassung wie man richtig postet.

Zudem würde ich dir diesen Text ans Herz legen.

Vor dem nächsten Post einfach mal diese Texte lesen und dich entsprechend Verhalten, dann wird dir vielleicht auch jemand auf deine Frage antworten.


sirphreak