mit Javascript Link in Formularfeld

[Sling]

Hey Community,

ich habe ein kleines Problem. Ich habe ein Menü und übergebe im Moment die Parameter bzw. die links via PHP GET also nach diesem Prinzip:

liste.php?cathegory=bohren

nun möchte ich das aber aus Gründen der Sicherheit diese Parameter via POST über geben. Das kann ich doch nur mit einem Formular oder? Nun habe ich mir folgendes gedacht. Mit dem Javascript eventhandler ?OnMousover? den Titel von dem Link in ein Formularfeld schreiben und beim klicken des Links das Formular mit schicken.

Nur wie bekomme ich den Linktitel in das Formularfeld?

Habt ihr ne Idee oder sogar ne andere Komfortablere Lösung?


Greatz Sling

 

[Duddle]

AW: mit Javascript Link in Formularfeld

Mir fällt spontan nur ein unbedeutend kleiner Punkt ein, warum POST-Parameter plötzlich sicherer sein sollen als GET-Parameter. Vielleicht kannst du ja konkrete Argumente bringen, die deine Ansicht unterstützen. Es sei dir versichert, dass ein Angreifer überhaupt keine Probleme damit hätte, deiner Seite per POST Daten zu schicken.

Das heisst, deine Idee ist in diesem Fall ziemlich überflüssig. Dein Sicherheitskonzept sollte da ansetzen, wo die Variablen ausgewertet werden.


Duddle

 

[Sling]

AW: mit Javascript Link in Formularfeld

Das ist mir leider Gottes auch bewusst geworden also habe ich weiter gedacht. Es geht wie man sicher merkt um MySQL Injektions.

Mit dem POST hat nur den Hintergrund das keine Variablen in der Browserzeile über geben werden udn es so nciht ganz so offensichtlich ist das dort Parameter via GET oder POST über geben werden. Sicherlich ist auch noch ein Abfangen der Variablen bzw ein Prüfen nötig z.B. ob diese Dinge wirklich korekt sind so das kein User Erstellt werden kan in der DB und so weiter sonder Zeichen raus filtern und alles sowas. Oder meinst du das reicht wenn ich das Filtere und bei falsche eingabe an eine Fehlerseite verweise?

 

[Duddle]

AW: mit Javascript Link in Formularfeld

Wenn du schon weisst, wofür du dich rüsten willst, dann kannst du doch nach Lösungen googlen:
SQL-Injection ? Wikipedia
PHP: SQL Injection - Manual

Auch wenn es dir vielleicht sinnvoll erscheint, "Security through Obscurity" ist kein effizientes Sicherheitsfeature.


Duddle

 

[Sling]

AW: mit Javascript Link in Formularfeld

@ Duddle

Ok ich bin deinem rat mal gefolgt und habe mir folgendes Gedacht:

Ich nehme ganznormal den GET Parameter an und entferne alle Sonderzeichen wie "='/ lehrzeichen usw. Dann wandel ich ihn in einen String um egal ob int oder schon String. Im weiteren Verlauf prüfe ich ob dieser Parameter in der DB vor kommt wenn dies der Fall ist lasse ich die Abfrage zu ansonsten. Nehme ich den ersten eintrag in der DB und gebe diesen dann entsprechen aus.

Meine Frage ist nun ob der Abgleich mit der DB und des Parametes Sinnvoll ist. Denn eigendlich habe ich ja alles sonderzeichen entfernt und es würde auch aus einem Manipulieren GET Paramter dann ein einzelner String werden der ja zu keinem Ergebniss bzw. Match führt. Klingt das logisch?

Gruss Sling