Tag 2 · Block 2: PDO und Prepared Statements

1

Ergänze den DSN für unser Docker-Projekt.

mysql:host=____;port=3306;dbname=____;charset=____

📖 Nachlesen: Handout Tag 2 · Block 2 · Inhalt (DSN)

host=dbname=charset=

2

PHP meldet Connection refused, im DSN steht host=localhost. Warum?

📖 Nachlesen: Handout Tag 2 · Block 2 · MERKE

localhost ist der PHP-Container selbst – MariaDB läuft in einem anderen Container (Service db).
localhost ist in PHP verboten.
MariaDB akzeptiert nur IP-Adressen.
Port 3306 ist bei localhost gesperrt.

3

Welche Option ist gemeint?

📖 Nachlesen: Handout Tag 2 · Block 2 · Inhalt und Abb. 2.1

4

Du bist jetzt der Angreifer. Der Code unten holt einen Kurs anhand der id aus der URL. Erreiche die drei Ziele.

📖 Nachlesen: Handout Tag 2 · Block 2 · Prepared Statements und SQL-Injection-Schutz, Abb. 2.2

1.Hole den Kurs mit der ID 3 (normaler Aufruf).
2.Unsicher: Finde eine Eingabe, die alle Kurse liefert – obwohl der Code nur einen holen will.
3.Sicher: Probiere deinen Angriff nochmals mit dem Prepared Statement. Was kommt jetzt zurück?

$id = $_GET['id'];
$stmt = db()->query("SELECT * FROM kurse WHERE id = {$id}");
$kurse = $stmt->fetchAll();

Eingabe für id (das schickt der Browser: /kurs?id=3)

5

Welche Zeilen sind unsicher?

📖 Nachlesen: Handout Tag 2 · Block 2 · ACHTUNG («String-Konkatenation in SQL ist das Alarm-Signal»)

Mehrere Antworten richtig.

$db->query("SELECT * FROM kurse WHERE id = {$_GET['id']}");
$db->query('SELECT * FROM kurse ORDER BY startdatum');
$db->query("SELECT * FROM kurse WHERE titel = '" . $titel . "'");
$stmt = $db->prepare('SELECT * FROM kurse WHERE id = :id'); $stmt->execute([':id' => $id]);

6

Was brauchst du bzw. was kommt zurück?

📖 Nachlesen: Handout Tag 2 · Block 2 · Inhalt (letzter Absatz)

	Antwort
`getAllKurse()` – Liste aller Kurse
`getKursById(3)` – genau ein Kurs
Was liefert `fetch()`, wenn keine Zeile passt?

PDO und Prepared Statements