Fehlermeldungen der Datenbank ausgeben: Fehlermeldungen der Datenbank ausgeben - #33914 (Datenbanken und Verzeichnisdienste)

Dubu

2006-01-17 21:55

User since
2003-08-04
2145 Artikel
ModeratorIn + EditorIn

user image

[quote=pug,17.01.2006, 19:19]

Code: (dl )

1
2

my $username     = $obj->param ( "username" );
my $passwort     = $obj->param ( "passwort" );

Und in der Datenbank wird nachgeschaut, ob es solch eine User gibt:

Code: (dl )

$result = $dbh->prepare ( "SELECT pass FROM nickname WHERE nickname = '$username'" ) or die "Vorbereitung nicht durchfuehrbar!\n";

[/quote]
Das schreit geradezu nach einem SQL-Injection-Angriff!
Niemals Benutzereingaben ohne Quoting oder Platzhalter in SQL-Befehlen verwenden!