[Access] Syntax error op simpele INSERT INTO *

[Verwijderd]

Ik krijg bij het insert statement op een asp pagina volgende error

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'
[Microsoft][ODBC Microsoft Access Driver] Syntax error in INSERT INTO statement.

code:

sql = "insert into Journalist ( Login, Paswd, Naam, Voornaam, Adres, Postnummer,
 Gemeente, Tel, Fax, Gsm, E-Mail, Werkgebied, Foto, Bestuur, Groep, Rubriek, Soort, HoofdMedium, Administrator  ) 
values('" & Login & "', '" & Paswd1 & "', '" & Naam & "', '" & Voornaam & "', '" &
 Adres & "', '" & Postnummer & "', '" & Gemeente & "', '" & Tel & "', '" & Fax & "', 
'" & Gsm & "', '" & Email & "', '" & Werkgebied & "', '" & Foto & "', '" & Bestuur & "',
 '" & Groep & "', '" & Rubriek & "', '" & Soort & "', '" & HoofdMedium & "', 
'" & Administrator & "')"

response.Write(sql)
db.Execute(sql) %>

dus telkens met enkel en dubbele quote omdat de variabalen in de DB allen strings zijn; de namen kloppen ook allemaal

en dit krijg ik bij de respons.write(sql) :

code:

insert into Journalist ( Login, Paswd, Naam, Voornaam, Adres, Postnummer, 
Gemeente, Tel, Fax, Gsm, E-Mail, Werkgebied, Foto, Bestuur, Groep, Rubriek, Soort, HoofdMedium, Administrator ) 
values('holderbeke.arne', 'arne', 'Holderbeke', 'Arne', 'spoelberg 11', 
'b8500', 'Kortrijk', '056/ 22 53 33', '056 / 20 53 33', '0496 / 778 262', 
'[e-mail]', 'Kortrijk , gans belgie', 'arne.jpg', 'ja', 
'Camera - Tv', 'feestjes bouwen , zuipen', 'vast dienstverband', 'Streekkrant', 'Ja')

zou er iemand zijn die weet wat ik mis doe ,
want ik vind het niet

Greetz Stekkerke

[NMe]

Bij gans België mist een single quote ( ' dus).
Woeps, let niet op mij, tis laat.

[ Voor 33% gewijzigd door NMe op 15-11-2004 03:06 ]

[curry684]

Misschien dat je met de error van SQL Server meer kunt:

Server: Msg 170, Level 15, State 1, Line 4
Line 4: Incorrect syntax near '-'.

'E-Mail' is geen geldige naam zonder escaping, de naam van het beestje is ook 'email', arithmetische en andere tekens kun je beter nooit in objectnamen gebruiken

Geen idee hoe het in Access moet maar in SQL Server iig als [e-mail]

En titel gefixed trouwens, lees de stickies van Programming & Webscripting even aub

[ Voor 20% gewijzigd door curry684 op 15-11-2004 07:21 ]

[kenneth]

curry684 schreef op maandag 15 november 2004 @ 07:20:
Geen idee hoe het in Access moet maar in SQL Server iig als [e-mail]

In Access ook

[farlane]

Maw geen spaties, operators oid in je veldnamen zetten, hoef je ze ook niet te escapen.

[Verwijderd]

dat kan het eventueel wel zijn , welk escape teken gebruik ik dan om de naam E-Mail wel te kunnen gebruiken bij het insert-statement in mn code

De site is momenteel reeds in te ver stadium om nog m'n datamodel aan te passen !

Alvast bedankt !

[gorgi_19]

[E-mail], zoals posters boven me ook al zeiden

[ Voor 72% gewijzigd door gorgi_19 op 15-11-2004 12:17 ]

[curry684]

Verwijderd schreef op maandag 15 november 2004 @ 12:14:
dat kan het eventueel wel zijn , welk escape teken gebruik ik dan om de naam E-Mail wel te kunnen gebruiken bij het insert-statement in mn code

De site is momenteel reeds in te ver stadium om nog m'n datamodel aan te passen !

Blijkbaar had je het veld 'E-mail' nog niet aangesproken anders, en kun je die dus rustig renamen

Maareuj: je bent een website op access aan het bouwen?

[gorgi_19]

curry684 schreef op maandag 15 november 2004 @ 13:46:
[...]

Blijkbaar had je het veld 'E-mail' nog niet aangesproken anders, en kun je die dus rustig renamen

Maareuj: je bent een website op access aan het bouwen?

Voor kleine sites kan dat best hoor

[faabman]

@TS:
Zoek eens op parameterized queries, want de manier waarop je nu je databeestje aan het vullen bent is erg fout gevoelig...

[curry684]

faabman schreef op maandag 15 november 2004 @ 13:51:
@TS:
Zoek eens op parameterized queries, want de manier waarop je nu je databeestje aan het vullen bent is erg fout gevoelig...

Als die parameters allemaal uit een webform komen is het inderdaad 1 groot SQL Injection feest

[Verwijderd]

thx guys ,

het spel werkt door de haakjes te gebruiken !
alles komt inderdaad uit een groot form

en er zijn al vele leden toegevoegd ,
voor de nieuwschierigen

link weggehaald voor eigen veiligheid....

[ Voor 19% gewijzigd door curry684 op 15-11-2004 17:02 ]

[curry684]

Eerste poging op je site kreeg ik deze al:

Microsoft OLE DB Provider for ODBC Drivers error '80040e14'

[Microsoft][ODBC Microsoft Access Driver] Characters found after end of SQL statement.

/Intern_Check.asp, line 76

Geef me nog 5 pogingen en ik heb je user-table getrashed. Ga aub nu even bijlezen over SQL Injection.

Ik heb de link naar je site voor je eigen veiligheid verwijderd

2e poging gaf me al een error met daarin je complete login-query geechoed

[ Voor 9% gewijzigd door curry684 op 15-11-2004 17:17 ]

[Verwijderd]

Hmmmmm,

bedankt voor de tip ,
zulke dingen leren ze me niet op school
ben nochtans afgestudeerd graduaat informatica !

zal dat even nalezen

[curry684]

Ik weet helaas maar al te goed dat basale beveiliging niet op school wordt geleerd, daarom ben ik er zo alert op

Let vooral op je login-scherm, die was wel heel lek als ik apostrofjes ging gebruiken Ik had al na 4 keer proberen een 'loper' username als ik je inlogquery goed inschat, oftewel eentje waarmee ik met een random password van *een* van je gebruikers in zou kunnen loggen

Probeer eens met login: ' OR 1=1 OR 'a' LIKE '

Ow en sowieso meende ik in je login te zien dat je een 'like' query doet op de login met een procent erachter, oftewel als mijn username curry is mag ik ook inloggen als curryfles

[NMe]

curry684 schreef op dinsdag 16 november 2004 @ 00:20:
Ik weet helaas maar al te goed dat basale beveiliging niet op school wordt geleerd, daarom ben ik er zo alert op

offtopic:
Momenteel wordt daar wat meer op gelet, althans op mijn school. Ik denk dat bedrijven toch een duidelijk signaal hebben afgegeven wat betreft het gebrek aan basisconcepten van pas afgestudeerde informatici, terwijl ze wel een programmeertaal of 10 hebben geleerd/behandeld op school.

Toch heb je gelijk als je zegt dat scholen nog steeds verkeerde doelen nastreven. Maar al te vaak kom ik erachter dat er meer gehamerd wordt op het leren van een programmeertaal, dan bijvoorbeeld op het naleven van standaarden.