sql-injection prüfen

[bammes]

hey habe gelesen, wie man prüfen kann, ob eine webseite gegen sqlinjection sicher ist.
da steht man soltle z.b. beim login in der adresszeile z.b. &user=test
einfach schreiben &user=test' also mit nem anführungszeichen.

da aber kaum ne webseite login über get macht habe ich einfach n postrequest gesendet halt auch mit &user=test'

es hieß, dass es wenn die seite nicht gg sqlinjection geschützt ist ein fehler kommen sollte.

habs auf eigener webseite probiert (also auf einer, wo ich in php kein mysql_real_escape_string() reingemacht habe).

also theoretisch sollte jetzt ja n fehler kommen.
tut es aber leider nicht.

habe ich da was falsche gemacxht oder habe ich da was falsch verstanden?

[boxxiebabee]

Also, &user=test' funktioniert definitiv nicht, mit der eingabe im Login müsstest du den SQL-Befehl umschreiben (was aber nur geht wenns nicht geschützt ist). Um zu prüfen ob eine Seite SQL-Injection anfällig ist, musst du auf eine Seite gehn, die z.b. so aussieht:
und am ende ein ' anhängen, wenn nun ein sql fehler kommt kann mans weiter versuchen

[*-Grimreaper]

Habe ein Outlink mit einem Tutorial.
PN'n mich und ich lass dir die Seite zukommen ;D

[bammes]

mit der eingabe im Login müsstest du den SQL-Befehl umschreiben

auf meiner seite logge ich ja auch mit dem sqlcode :

PHP Code:

Select * FROM user WHERE name=$_POST['user'] and pass=$_POST['pass'] 


also wenn ich dann user ändere, dann sollte ich damit auch den sql ändern.

denke ich^^

PN'n mich und ich lass dir die Seite zukommen ;D

k mache ich