[php] Sicherheit der Daten in Session

[Krauss]

lists at darknoise.de schrieb am 25.06.2004:
>Hallo liebe Liste,
>
>ich habe eine kleine Frage zur Manipulierbarkeit von Sessions.
>Wir legen einige Daten zu einem angemeldeten Benutzer aus $_SESSION 
>direkt für SQL-Statements u.ä.
>Ich bin nun der Meinung die direkte Verwendung der Daten könnte
>Injections ermöglichen. 
>
>Ist das der Fall, oder geht das nicht? 
>Mir ist klar, dass jederzeit die Session-ID manipuliert 
>oder gesnifft werden kann, aber darum geht's mir hierbei nicht.
>
>

Hallo !

Wenn ich die Sache richtig verstanden habe, dann wird aus der Session
eine SQL erstellt.
Wenn die Daten in der Session nicht im Vorfeld kontrolliert werden,
dann ist natürlich eine SQL - Injektion möglich.
Also ist das eigentliche Problem nicht die Verwendung von Daten aus
der Session, sondern die Kontrolle von Daten bevor diese zu einer SQL
verarbeitet werden. Ich denke das lässt sich mit dr Entwicklung von
'Filter - Klassen / Funktionen' umgehen, die alle Werte die zu einer
SQL verarbeitet werden überprüfen.


m.f.G.

Stephan