[Techinfo] WEB + adatbázis

[Lutter, András]

...reméljük, Bobby";DROP TABLE users; nevű tanuló nem ide jár.

Bocsánat a kötözködésért. Ha egy belső, kívülről nem elérhető, nem érzékeny
adatokat tartalmazó rendszer, ami mondjuk a folyosón található kosárban
lévő, bárki által elvihető  cetliket váltaná ki, és csak ennek az
egyszerűsítése a webes felület, akkor jó. De egyéb esetben a biztonsággal
kellene kezdeni.
Tudom, ez a "mit ne", és jótanácsnak kevés.

Lutter András

Dunakeszi Radnóti Miklós Gimnázium


Takács Zoltán via Techinfo <techinfo at lista.edu.hu> ezt írta (időpont: 2023.
nov. 21., K, 15:36):

> esetleg az egész elejére ezt:
>
> error_reporting(0);
>
>
>
> *From:* Zsolt Nagy via Techinfo <techinfo at lista.edu.hu>
> *Sent:* Tuesday, November 21, 2023 3:28 PM
> *To:* Techinfo <techinfo at lista.edu.hu>
> *Cc:* Zsolt Nagy <nagyzsolt80 at gmail.com>; Alaksza Balázs <
> johnny1107 at gmail.com>
> *Subject:* Re: [Techinfo] WEB + adatbázis
>
>
>
> van egy process.php fájlom amiben az alábbi kódot tettem:
>
>
>
> <?php
> $username=$_POST['user'];
> $password=$_POST['pass'];
>
> $mysqli=mysqli_connect("localhost","root","","big");
> mysqli_report(MYSQLI_REPORT_ERROR);
>
>
> $query = "SELECT id, username, password, level FROM users WHERE
> username='$username'
> AND password='$password'";
> $result = mysqli_query($mysqli,$query)or die(mysqli_error());
> $num_row = mysqli_num_rows($result);
> $row=mysqli_fetch_array($result);
>
> if( $num_row == 1 )
> {
> echo 'Wellcome!!! <b>'.$row['username'].'</b> nevű felhasználó<br />';
> if($row['level'] == 0)
> {
> echo '<b>USER szintű felhasználó</b>';
> echo '<br>';
> echo '<a href="logout.php" class="btn btn-danger">Kijelentkezés</a>';
> }
> if($row['level'] == 1)
> {
> echo '<b>ADMIN szintű felhasználó</b><br />';
> $sql = "SELECT * FROM users";
> $query = mysqli_query($mysqli,$sql);
>    if(!$query)
> {
> echo "Query does not work.".mysqli_error($conn);die;
> }
> while($data = mysqli_fetch_array($query))
> {
> echo "Id = ".$data['id']."<br>";
> echo "Username = ".$data['username']."<br>";
> echo "Password = ".$data['password']."<br>";
> echo "Level = ".$data['level']."<br><hr>";
> }
> echo '<br>';
> echo '<a href="logout.php" class="btn btn-danger">Kijelentkezés</a>';
> }
> }
> else
> {
> echo '<b>Valamit nagyon el tetszett nyomkodni :)</b>';
> echo '<br>';
> echo '<a href="logout.php" class="btn btn-danger">Vissza</a>';
> }
> ?>
>
> a problémám az, hogy ha az url-t beírom http://127.0.0.1/web/process.php
>
> itt elvileg semmit nem írhat ki, erre:
>
>
>
> *( ! ) Notice: Undefined index: user in C:\wamp64\www\web\process.php on
> line 2*
>
> *Call Stack*
>
> *#*
>
> *Time*
>
> *Memory*
>
> *Function*
>
> *Location*
>
> 1
>
> 0.0001
>
> 362584
>
> {main}( )
>
> ...\process.php*:*0
>
>
>
> *( ! ) Notice: Undefined index: pass in C:\wamp64\www\web\process.php on
> line 3*
>
> *Call Stack*
>
> *#*
>
> *Time*
>
> *Memory*
>
> *Function*
>
> *Location*
>
> 1
>
> 0.0001
>
> 362584
>
> {main}( )
>
> ...\process.php*:*0
>
> *Valamit nagyon el tetszett nyomkodni :)*
> Vissza <http://127.0.0.1/nzs/logout.php>
>
>
> _______________________________________________
> Techinfo mailing list
> Techinfo at lista.edu.hu
> Fel- és leiratkozás: https://listserv.niif.hu/mailman/listinfo/techinfo
> Illemtan: http://www.szag.hu/illemtan.html
> Szertár: http://www.szag.hu/weboldal/techinfo/
>
--------- következő rész ---------
Egy csatolt HTML állomány át lett konvertálva...
URL: <https://listserv.niif.hu/pipermail/techinfo/attachments/20231121/7f1ff50c/attachment.htm>