SQL-Injection: wenn Eingaben zu SQL werden

Worum es geht

Skript 06, Folie 25: Problem: SQL Injection.

Bisher wurde ein Wert direkt in den SQL-Text geschrieben, etwa die Kategorie. Kommt dieser Wert vom Benutzer, kann der Benutzer mehr schicken als einen Wert. Was passiert dann?

Aus Skript 06, Folie 21: $sql = "SELECT … WHERE categoryid = '$param'"; und $erg = $db->query($sql); schicken den fertigen Text an die Datenbank.

So gehen wir vor:

Wie der SQL-Text entsteht.
Drei Eingaben der Folie: harmlos, alle Zeilen, kaputt.
Was beim Löschen passiert.
Warum das geht.
Eine Klausurfrage dazu.

Der SQL-Text entsteht aus der Eingabe

Skript · Problem: SQL Injection

Betrachten Beispiel: $sql = "SELECT * FROM Product WHERE categoryid='$param'";

Im Beispiel 03_db.php kommt $param aus der Adresse, etwa 03_db.php?p=CATS. Das steht als Notiz auf Folie 24: p ist der Name des Parameters, $_GET['p'] sein Wert.

PHP setzt den Wert in Zeile 3 zwischen zwei Hochkommas (') in den Text. In SQL umschließen Hochkommas einen Text-Wert. Was in $param steht, prüft niemand: Es wird Zeichen für Zeichen hineinkopiert.

Harmlos: CATS

Eingabe:  CATS
SQL:      SELECT * FROM Product WHERE categoryid='CATS'
Ausgabe:
  FL-DSH-01:Manx
  FL-DLH-02:Persian

Mit CATS entsteht genau das gedachte SQL. Die Datenbank liefert die beiden Produkte der Kategorie CATS. „Alles ok“, sagt die Folie.

Rechts steht je Lauf die Eingabe, das entstandene SQL und die Ausgabe. Die Ausgabe macht eine Schleife wie auf Skript 06, Folie 21: je Zeile Nummer und Name. Sie ist hier nicht abgedruckt, damit der Blick auf dem SQL bleibt.

Schritt 0Worum es geht

Schritt 1Der SQL-Text entsteht aus der Eingabe

Schritt 2Harmlos: CATS

Abbildung 1

Worum es geht

Der SQL-Text entsteht aus der Eingabe

Harmlos: CATS