PHP realtime sql update

[Verwijderd]

Goedemorgen,

Ik zal snel even mijn situatie even schetsen.
Wij moeten op school een spreking doen. En heb het ongelukkige onderwerp getrokken SQL injecties.

Maar wij moeten ook gebruiken van documentatie. Dus heb ik liggen denken om een form op te maken. met daaronder ook een display van de database. Maar ik weet dus niet hoe ik een real time update doe van de database. Injectie parsen doordat form en rechtstreeks weergeven in de db aan de onderkant van men page.

Ik begrijp dat jullie mij geen volledig antwoord gaan geven. Maar zou iemand mij opweg kunnen zetten? Bij het creeren van deze webpage!

P.s zwakheden zijn ook altijd welkom.

Met vriendelijke groet

[edeboeck]

"Realtime" update van DB? Je bedoelt dus gewoon een SQL-statement in een form ingeven en dat uitvoeren?
Wat bedoel je in godsnaam met "Maar wij moeten ook gebruiken van documentatie."... is dit het gebruiken van de documentatie van een product? Het zelf maken van documentatie?
Heb je eigenlijk al eens gezocht op SQL injection (o.a. op SlideShare)?
Kortom (weer eens?): wat heb je zelf al gedaan?
Tip: ik hoop wel dat je die webpagina niet online gooit

[Verwijderd]

Wat ik al heb gedaan is het creeren van de HTML en css code! Heb ook al een form waarmee ik sql statements kan invoeren. Wel me leraar heeft het liefste dat we zelf wat gaan puzzelen voor documentatie.

Dus ik veronderstel dat hij het maken bedoeld.

Het begrip sql injecteren is me allemaal duidelijk. Maar zit gewoon ja vast op het creeren vanmijn documentatie idee.

Maar echter zit ik vast op: Hoe zorg ik er nu voor dat die men query ook gaat displayen in een ander compartiment snap je zoals de SQL try it van W3schools bv.

En btw die webpage online smijten. Zeker niet! Dat is het laatste waar ik aan denk. Ik wou het eerder doen met me Apache configuratie; Intern op me laptop dus

[ Voor 25% gewijzigd door Verwijderd op 03-12-2013 09:12 ]

[DennusB]

Verwijderd schreef op dinsdag 03 december 2013 @ 09:10:
Wat ik al heb gedaan is het creeren van de HTML en css code! Heb ook al een form waarmee ik sql statements kan invoeren. Wel me leraar heeft het liefste dat we zelf wat gaan puzzelen voor documentatie.

Dus ik veronderstel dat hij het maken bedoeld.

Maar echter zit ik vast op: Hoe zorg ik er nu voor dat die men query ook gaat displayen in een ander compartiment snap je zoals de SQL try it van W3schools bv.

En btw die webpage online smijten. Zeker niet! Dat is het laatste waar ik aan denk. Ik wou het eerder doen met me Apache configuratie; Intern op me laptop dus

Je kan toch gewoon $query = "hierjequery"; doen en die zowel echo'en als uitvoeren met mysql_query?

[Verwijderd]

DennusB schreef op dinsdag 03 december 2013 @ 09:11:
[...]


Je kan toch gewoon $query = "hierjequery"; doen en die zowel echo'en als uitvoeren met mysql_query?

Maar je variable gaat die niet kwijt naar de eerste parsing. aangezien dat form zijn action in een aparte file staat. waar word afgesloten met Mysqli_close($Con);

[DennusB]

Verwijderd schreef op dinsdag 03 december 2013 @ 09:16:
[...]


Maar je variable gaat die niet kwijt naar de eerste parsing. aangezien dat form zijn action in een aparte file staat. waar word afgesloten met Mysqli_close($Con);

Heh? Huh wat? Je post toch gewoon je form? Post hem lekker naar dezelfde pagina toe en laat hem daar uitvoeren en echo'en.....
Heb je überhaupt ervaring met PHP btw?

[Miyamoto]

Op wat voor school zit je / om wat voor niveau gaat het?
Maak het je zelf niet moeilijker dan nodig, zeker niet als je niet bekend bent met het onderwerp.

[RobIII]

Verwijderd schreef op dinsdag 03 december 2013 @ 09:16:
[...]


Maar je variable gaat die niet kwijt naar de eerste parsing. aangezien dat form zijn action in een aparte file staat. waar word afgesloten met Mysqli_close($Con);

Doe eens gek en probeer 't eens

code:

$myquery = $POST['query'];

$mydb->open();
$result = $mydb->execute($myquery);
$mydb->close();

echo html_encode($myquery);

[Verwijderd]

Informatica, 2de kans onderwijs. is mijn richting. en echt bekend met PHP ben ik niet maar, ik ben het wel heel stilaan aan het leren.

[kwaakvaak_v2]

dan zou ik de presentatie gewoon lekker in powerpoint doen en niet lopen kutten met een live demo

[Verwijderd]

kwaakvaak_v2 schreef op dinsdag 03 december 2013 @ 10:11:
dan zou ik de presentatie gewoon lekker in powerpoint doen en niet lopen kutten met een live demo

Ben ik akkoord mee maar een live demo kan ook leuk lijken niet?

[kwaakvaak_v2]

ja als je idd weet wat je doet wel, maar vaak gaan live demo's mis omdat de omstandigheden net niet zijn als je had bedacht.

Heb denk ik ietst te vaak op conferenties naar tegen stotterende bovenkanten van een hoofd zitten kijken omdat tijdens de live demo de laptop net niet deed wat moest, de internet verbinding eruit lag, de presentator te druk was met het live fixen van een niet relevante bug etc. Voor de persoon die presenteert misschien wel boeiend omdat het volledig in zijn wereld zit, maar voor de zaal/klas met mensen is het ongeveer net zo boeiend als het kijken naar gras dat groeit.

[Verwijderd]

kwaakvaak_v2 schreef op dinsdag 03 december 2013 @ 10:55:
ja als je idd weet wat je doet wel, maar vaak gaan live demo's mis omdat de omstandigheden net niet zijn als je had bedacht.

Heb denk ik ietst te vaak op conferenties naar tegen stotterende bovenkanten van een hoofd zitten kijken omdat tijdens de live demo de laptop net niet deed wat moest, de internet verbinding eruit lag, de presentator te druk was met het live fixen van een niet relevante bug etc. Voor de persoon die presenteert misschien wel boeiend omdat het volledig in zijn wereld zit, maar voor de zaal/klas met mensen is het ongeveer net zo boeiend als het kijken naar gras dat groeit.

Touche! daar heb je over de hele lijn gelijk in! maar toch ga ik het zuiver eens voor mezelf proberen denk ik

[Miyamoto]

kwaakvaak_v2 schreef op dinsdag 03 december 2013 @ 10:11:
dan zou ik de presentatie gewoon lekker in powerpoint doen en niet lopen kutten met een live demo

Inderdaad. Concentreer je op wat je wel weet en probeer daar een verhaal van te maken.
Die demo boeit echt helemaal niemand. Het is vrij low-tech, zeker voor een Informatica opleiding waarbij misschien 1/3 van je klasgenoten een stuk verder is met SQL queries.
Je kunt de queries ook prima uitleggen dmv tabellen in Powerpoint, laat zien wat er veranderd na het uitvoeren van een query. Veel duidelijker dan gerommel/gestuntel met live data.

@Janoz: Klopt helemaal. Ik had er overheen gelezen dat het specifiek over (sql) injecties ging.

[ Voor 6% gewijzigd door Miyamoto op 03-12-2013 15:37 ]

[Janoz]

Voor het bespreken van SQL-injecties is de inhoud en form van de tabellen helemaal niet relevant. Het gaat om de inhoud van de query die naar de database gaat. In een powerpoint moet je heel simpel kunnen laten zien hoe een query onbedoeld kan worden aangepast.

[Verwijderd]

Dan kje voor de info!

[ Voor 103% gewijzigd door Verwijderd op 03-12-2013 18:00 ]

[Verwijderd]

Ik heb me dia voorstelling af maar nu probeer ik echter ook een live demo. (zuiver voor mezelf). Maar nu is mijn vraag ik snap niet hoe ik via mijn form een query invoer en terwijl ook parse op men page. Iemand die mij kan helpen?

[RobIII]

Verwijderd schreef op dinsdag 03 december 2013 @ 20:09:
Ik heb me dia voorstelling af maar nu probeer ik echter ook een live demo. (zuiver voor mezelf). Maar nu is mijn vraag ik snap niet hoe ik via mijn form een query invoer en terwijl ook parse op men page. Iemand die mij kan helpen?

Wat is er niet duidelijk aan RobIII in "PHP realtime sql update"

[Verwijderd]

wel dat is georienteerde php niet? ik heb daar dus voorlopig nog geen ervaring mee!

mijn excuses daarvoor

[Verwijderd]

echter zit ook met deze code te klooien

PHP:

// query.php

<?php
$con=mysqli_connect("localhost","root","root","$_POST[database]");
// Check connection
if (mysqli_connect_errno())
  {
  echo "Failed to connect to MySQL: " . mysqli_connect_error();
  }

// Create table
$sql= $_POST['query'];

// Execute query
if (!mysqli_query($con,$sql))
  {
  die('Error: ' . mysqli_error($con));
  }
echo "Query succesfully executed!";
?>

<form action="query.php" method="POST">
                <div class="col-md-3">
                  <input type="text" name="database" placeholder="Database" class="form-control">
                </div>
                <div class="col-md-10">
                  <div style="margin-bottom: 5px" class=" form-top-padding btn-group">
                    <button title="" class="btn btn-default btn-xs"><span class="glyphicon glyphicon-plus"></span></button>
                    <button title="show tables;" class="btn btn-default btn-xs"><span class="glyphicon glyphicon-list"></span></button>
                    <button title="" class="btn btn-default btn-xs"><span class="glyphicon glyphicon-trash"></span></button>
                    <button title="drop" class="btn btn-default btn-xs"><span class="glyphicon glyphicon-edit"></span></button>
                    <button title="" class="btn btn-default btn-xs"><span class="glyphicon glyphicon-search"></span></button>
                  </div>
                  <textarea name="query" placeholder="Insert your SQL Query here." class=" form-control" rows="3"></textarea>
                </div>
                <button class="btn btn-success" type="submit">
                  <span class="glyphicon glyphicon-flash"></span> Go!
                </button>
                <button class="btn btn-danger" value="reset">
                  <span class="glyphicon glyphicon-warning-sign"></span> Reset!
                </button>
              </form>

Wat maakt mijn queries worden perfect uitgevoerd maar blijfvast hangen op query.php. En als ik namelijk terug naar index.php ga word namelijk ook de query niet gedisplayed in de panel die hiervoor bedoel is op index.php

[DJMaze]

Wat mij al gelukt is op bepaalde websites:

PHP:

<?php
if (isset($_POST['login'])) {
    $db = new mysqli("localhost","root","root","database");
    $result = $db->query("SELECT * FROM users WHERE name='{$_POST['login']['name']}' AND pass='{$_POST['login']['pass]}'");
    print_r($result->fetch_assoc());
}
?>

<form action="" method="post">
<input name="login[name]" value="' OR 1"/>
<input name="login[pass]" value="' OR 1"/>
<button>login</button>
</form>

Oftewel: ik bleek gewoon ingelogged te zijn als de eerste gebruiker (meestal een admin)

[ Voor 8% gewijzigd door DJMaze op 04-12-2013 01:50 ]

[Miyamoto]

Verwijderd schreef op dinsdag 03 december 2013 @ 22:32:
echter zit ook met deze code te klooien

Je kunt letterlijk de code van RobIII kopiëren.
In je eigen code mist op regel 19 een 's'

Verder geen idee wat je wilt, hoe wil je nu met dat stukje code een SQL injectie aantonen?
Schrijf eerst eens in pseudo-code op wat je wilt bereiken, dan wordt het voor jezelf misschien ook duidelijker.

[Verwijderd]

root wat ik eigen wil aantonen is ik voer in dat form sql statements in en in een panel daaronder word direct weergegeven wat hij doet

en waar plaats jij dan die code. Ik zet hem in de panel waar ik de query wil displayen maar daar doet hij dus niets....

[ Voor 31% gewijzigd door Verwijderd op 04-12-2013 10:08 ]

[Janoz]

Als je dat wilt laten zien kun je veel beter een of andere administratie tool gebruiken zoals de MySQL Workbench. En als je het perse in de browser wilt doen, gebruik dan phpmyadmin oid.

[PsychoMantis_NL]

Is iets simpels als zo iets geen optie?

PHP:

<?php
// Optie 1
$standaardQuery = "SELECT * FROM gebruikers WHERE id = '1'";

// Optie 2 - Triggert notice indien formulier nog niet is gesubmit
//           Dit kun je zelf wel afvangen/checken
$standaardQuery = "SELECT * FROM gebruikers WHERE id = '".$_POST['sqlInjection']."'";
?>

<form action="" method="post">
    <h4>INPUT</h4>
    <p>Standaard query: <pre><?php echo $standaardQuery; ?></pre></p>
    <p>Geef extra commando's in: <input type="text" name="sqlInjection" /></p>
    <p><input type="submit" name="submit" value="Corrupt database!" /></p>
</form>

<div>
    <h4>OUTPUT</h4>
    <?php
    if($_SERVER['REQUEST_METHOD'] == 'POST')
    {
        // Eerst query echo'en
        echo 'De volgende quiery wordt uitgevoerd: ' . $standaardQuery . '<br />';
        // Eerst query zonder aanvullend commando uitvoeren en data tonen
        $q = mysqli_query($con , $standaardQuery);
        while($results = mysqli_fetch_assoc($q))
        {
            // toon resultaten
        }
        echo '<br /><br />';
        
        // Query uitvoeren met aanvullende data
        
        // Optie 1
        echo 'De volgende query wordt uitgevoerd: ' . $standaardQuery . $_POST['sqlInjection'];
        
        // optie 2
        echo 'De volgende query wordt uitgevoerd: '. $standaardQuery;
        
        // resultaat van query tonen
        $q = mysqli_query($con , $standaardQuery);
        while($results = mysqli_fetch_assoc($q))
        {
            // toon resultaten
        }
        
    }
    else
    {
        echo 'Formulier nog niet gesubmit';
    }
    ?>
</div>

Dus, zoals al aangegeven, eerst je (requliere) query tonen en uitvoeren, daarna de corrupte uitvoeren en echo'en... realtime updaten kan natuurlijk ook, dan hang je er een AJAX request achter, maar zoals al aangegeven, dat zou ik lekker via phpmyadmin doen...

Schrijf een query uit op papier, in dit geval (bij voorbeeld 2)

"SELECT * FROM gebruikers WHERE id = '".$_POST['sqlInjection']."'";

Voer die vervolgens in in phpmyadmin, waarbij je de post variabele vervangt door een waarde die je verwacht bijvoorbeeld:

id = 25

Vervolgens voer je diezelfde query nogmaals uit met corrupte data, iets in de trend van:

id = 25 or 1 = 1

offtopic:
Pin me niet vast op de sqli_* notatie, m'n php is wat dat betreft wat roestig, maar het gaat om de opzet

[Verwijderd]

PsychoMantis_NL schreef op woensdag 04 december 2013 @ 11:00:
Is iets simpels als zo iets geen optie?

PHP:

<?php
// Optie 1
$standaardQuery = "SELECT * FROM gebruikers WHERE id = '1'";

// Optie 2 - Triggert notice indien formulier nog niet is gesubmit
//           Dit kun je zelf wel afvangen/checken
$standaardQuery = "SELECT * FROM gebruikers WHERE id = '".$_POST['sqlInjection']."'";
?>

<form action="" method="post">
    <h4>INPUT</h4>
    <p>Standaard query: <pre><?php echo $standaardQuery; ?></pre></p>
    <p>Geef extra commando's in: <input type="text" name="sqlInjection" /></p>
    <p><input type="submit" name="submit" value="Corrupt database!" /></p>
</form>

<div>
    <h4>OUTPUT</h4>
    <?php
    if($_SERVER['REQUEST_METHOD'] == 'POST')
    {
        // Eerst query echo'en
        echo 'De volgende quiery wordt uitgevoerd: ' . $standaardQuery . '<br />';
        // Eerst query zonder aanvullend commando uitvoeren en data tonen
        $q = mysqli_query($con , $standaardQuery);
        while($results = mysqli_fetch_assoc($q))
        {
            // toon resultaten
        }
        echo '<br /><br />';
        
        // Query uitvoeren met aanvullende data
        
        // Optie 1
        echo 'De volgende query wordt uitgevoerd: ' . $standaardQuery . $_POST['sqlInjection'];
        
        // optie 2
        echo 'De volgende query wordt uitgevoerd: '. $standaardQuery;
        
        // resultaat van query tonen
        $q = mysqli_query($con , $standaardQuery);
        while($results = mysqli_fetch_assoc($q))
        {
            // toon resultaten
        }
        
    }
    else
    {
        echo 'Formulier nog niet gesubmit';
    }
    ?>
</div>

Dus, zoals al aangegeven, eerst je (requliere) query tonen en uitvoeren, daarna de corrupte uitvoeren en echo'en... realtime updaten kan natuurlijk ook, dan hang je er een AJAX request achter, maar zoals al aangegeven, dat zou ik lekker via phpmyadmin doen...

Schrijf een query uit op papier, in dit geval (bij voorbeeld 2)

"SELECT * FROM gebruikers WHERE id = '".$_POST['sqlInjection']."'";

Voer die vervolgens in in phpmyadmin, waarbij je de post variabele vervangt door een waarde die je verwacht bijvoorbeeld:

id = 25

Vervolgens voer je diezelfde query nogmaals uit met corrupte data, iets in de trend van:

id = 25 or 1 = 1

offtopic:
Pin me niet vast op de sqli_* notatie, m'n php is wat dat betreft wat roestig, maar het gaat om de opzet

er zit een foutje op lijn 15

[PsychoMantis_NL]

Welke fout zou dat dan moeten zijn? Ik krijg hier alleen een notice dat $sqlInjection niet bestaat voor het posten van het formulier, en m'n queries geven notices dat $con niet bestaat (logisch aangezien ik nergens een connectie open/definieer).

Lijn 15 voor het parsen geeft:

</form>

Lijn 15 na het parsen, maar voor het posten bestaat hier niet (indien ik de html/head/body tags etc. verwijder), en na het submitten geeft die regel (hier) een:

<br />

[Verwijderd]

PsychoMantis_NL schreef op woensdag 04 december 2013 @ 13:25:
Welke fout zou dat dan moeten zijn? Ik krijg hier alleen een notice dat $sqlInjection niet bestaat voor het posten van het formulier, en m'n queries geven notices dat $con niet bestaat (logisch aangezien ik nergens een connectie open/definieer).

Lijn 15 voor het parsen geeft:

</form>

Lijn 15 na het parsen, maar voor het posten bestaat hier niet (indien ik de html/head/body tags etc. verwijder), en na het submitten geeft die regel (hier) een:

<br />

touché my bad!