Slette nyheder - virker ikke

Tags:    php

Jeg er ved at lave sådan jeg kan slette mine nyheder, men det virker ikke, nogen der kan finde nogle fejl?

<b>slet_nyhed_list.php</a>
<?php
session_start();
if (isset($_SESSION['aid'])) {
include("config.php");
}
include("tjek.htm");

$query = mysql_query("SELECT * FROM `nyhed`") or die(mysql_error());
while($data = mysql_fetch_array($query)) {

echo ".: <a href='slet_nyhed.php&id=" . $data['id'] . "'>" . $data['titel'] . "</a><br>";
}
?>

<b>slet_nyhed.php</b>
<?php
session_start();
if (isset($_SESSION['aid'])) {
include("config.php");
}
include("tjek.htm");
###### Slet nyhed
$query = mysql_query("SELECT * FROM `nyhed` WHERE `id`='" . $_GET['id'] . "' LIMIT 1") or die(mysql_error());
$data = mysql_fetch_array($query);

$sql1 = mysql_query("DELETE FROM `nyhed` WHERE `id` = '" . $data['id'] . "' LIMIT 1");

echo "Nyheden er nu slettet!<br>
echo "<br><br><a href='index2.php'>Tilbage til adminsektionen</a>";

?>

Altså det der sker når man trykker på den valgte nyhed kommer der bare den der "siden kan ikke vises".



2 svar postet i denne tråd vises herunder
0 indlæg har modtaget i alt 0 karma
Sorter efter stemmer Sorter efter dato
når du vil hente noget ud fra en database! skal du til slut skrive or die(mysql_error());

Da det kan blive til et sikkerheds hul




Sælg eller køb domænenavne på auktion. Få den bedste pris for dine domæner. Helt uden gebyrer! på http://www.alletiders-internet.dk



når du vil hente noget ud fra en database! skal du til slut skrive or die(mysql_error());

Da det kan blive til et sikkerheds hul


det er jo så ikke helt sandt.

or betyder bare at hvis funktionen retunere false så gør det her. Et forkert SQL syntax er ikke nødvendigvis et sikkerhedshul.

Dog så jeg et rigtigt sikkerhedshul

Fold kodeboks ind/udKode 


hvad nu hvis jeg gik op i url'en og ændrede ?id=1 til ?id=*
ALDRIG bruge en $_REQUEST ($_POST og $_GET) variable direkte, de kan nemt ændres og så sidder du med tudefjæs og en hacket hjemmeside.

[Redigeret d. 17/02-06 02:15:10 af Martin Fjordvald]



t