---

Hejsa

Jeg har et problem med sende denne kode:


$sql = urlencode("select * from t1 where user='j');
header("Location: http://www.domain.dk/find_dvd.php3?lastq=$sql");

når find_dvd.php3 så køre og jeg skriver lastq ud så står der:

select * from t1 where user=\'j\' og ikke
select * from t1 where user='j' som jeg gerne vil have

hvad er der galt

Jesper

---

> hvad er der galt

Prøv at se på php's stripslashes-funktion
http://www.php.net/manual/en/function.stripslashes.php

--
/Kristian Risager Larsen
Mail: mailto:kezze@kezze.dk ICQ: 14602805

---

On Sun, 18 Mar 2001 23:06:12 +0100, Jesper Kampfeldt
<c973663@student.dtu.dk> wrote:

>Hejsa
>
>Jeg har et problem med sende denne kode:
>
>
>$sql = urlencode("select * from t1 where user='j');
>header("Location: http://www.domain.dk/find_dvd.php3?lastq=$sql");
>
>når find_dvd.php3 så køre og jeg skriver lastq ud så står der:
>
>select * from t1 where user=\'j\' og ikke
>select * from t1 where user='j' som jeg gerne vil have
>
>hvad er der galt
>
>Jesper
>

Jeg vil gætte på du har sat noget til der automatiks escaper
variabler.
Brug stripslashes($lastq); for at fjerne dem.

--
Regards Sir Ghashûl, Knight of The alt.Roundtable <><
ICQ: 7two23six29
E-mail: stefan at bruhn dot to
URL: http://ghashul.dk

---

Jesper Kampfeldt <c973663@student.dtu.dk> writes:

> $sql = urlencode("select * from t1 where user='j');
> header("Location: http://www.domain.dk/find_dvd.php3?lastq=$sql");

Det du laver der er meget risikabelt. Hvad nu hvis jeg misbruger din
find_dvd.php3 til at udføre vilkårlige SQL udtryk ?

Måske skulle logikken i stedet være :

http://www.domain.dk/find_dvd.php3?user=j

Og så koder du dit SQL-udtryk direkte ind i find_dvd.php3

---

"Thomas Jespersen" <thomas@daimi.au.dk> skrev i en meddelelse
news:y4nk85mqahk.fsf@sabretooth.daimi.au.dk...
> Jesper Kampfeldt <c973663@student.dtu.dk> writes:
>
> > $sql = urlencode("select * from t1 where user='j');
> > header("Location: http://www.domain.dk/find_dvd.php3?lastq=$sql");
>
> Det du laver der er meget risikabelt. Hvad nu hvis jeg misbruger din
> find_dvd.php3 til at udføre vilkårlige SQL udtryk ?

Ja, til fx. www.domain.dk/find_dvd.php3?lastq=delete+from+din_tabel.... ikke
smart.

> Måske skulle logikken i stedet være :
>
> http://www.domain.dk/find_dvd.php3?user=j
>
> Og så koder du dit SQL-udtryk direkte ind i find_dvd.php3

---

Jonas Delfs <jonas@delfs.dk> skrev i en
nyhedsmeddelelse:998fk5$15o$1@sunsite.dk...
> Ja, til fx. www.domain.dk/find_dvd.php3?lastq=delete+from+din_tabel....
ikke
> smart.

helt enig, men nu har det også bare et eksempel! det kun slutning af
query'en jeg sender,
og det er kun betroede folk der har adgang til scriptet. Men tak for tippet!

Mvh.
Jesper