Vorbeugung der SQL Injection (DB Sicherheit)

[samurai]

Hi,

letztens habe ich (Einsteiger) gelesen, was für Gefahren im 'web' lauern. Speziell für Datenbanken z.B. SQL Injection.

Dies geschiet ja über Formularfelder, die dann auf die DB zugreifen. (oder gibt es noch andere Wege, die man bedenken sollte?)

Kann ich der SQL Injection vorbeugen, indem ich alle Eingabefelder nach Sonderzeichen prüfen lasse und folgende nicht zulasse?:

" , ' , < , > , \ , $ , &


Danke für jeden guten Rat (oder guten Link) zur Sicherung der DB!

gruß
samurai

[Wiedmann]

Kann ich der SQL Injection vorbeugen,

http://de.php.net/manual/en/function.my ... string.php

und folgende nicht zulasse?:

"<", ">", "$" und "&" haben allerdings bei einer SQL Injection keine Bedeutung.

[samurai]

also ist das schon ein Stück Sicherheit, wenn ich " und ' nicht zulasse?

[kschroeder]

also ist das schon ein Stück Sicherheit, wenn ich " und ' nicht zulasse?

Nein, ich kann auch eine SQL-Injection mit OR durchführen. Und wenn ich ein wenig überlege, fallen mir sicher noch ein paar andere Möglichkeiten ein.

Der einzig sinnvolle Weg ist, die konstruierte SQL-Abfrage zu escapen und zu kontrollieren.