Skip to main content
Dabei schleusen Angreifer schädlichen Code (z. B. SQL-, System- oder Script-Befehle) über unsichere Benutzereingaben in eine Anwendung ein. Dieser Code wird dann von der Anwendung oder Datenbank ausgeführt.

​
Problem

Wenn Eingaben nicht überprüft oder gefiltert werden, können Angreifer die ursprüngliche Abfrage manipulieren. 
$username = $_POST['username'];
$query = "SELECT * FROM users WHERE username = '$username'";
$result = mysqli_query($conn, $query);
Hier wird die Benutzereingabe direkt in die SQL-Abfrage eingefügt.

​
Lösung

Um Injection-Angriffe zu verhindern, sollte man:
  • Eingaben validieren
  • Prepared Statements (vorbereitete SQL-Abfragen) verwenden
  • Benutzereingaben nicht direkt in SQL einbauen
$username = $_POST['username'];
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
$stmt->execute();
$result = $stmt->get_result();
Prepared Statements sorgen dafür, dass Benutzereingaben nicht als SQL-Code interpretiert werden.