Was sind SQL-Injections?

Als SQL-Injection versteht man die Aussnutzung von schlecht programmierten SQL-Abfragen, vor allem bei Authentifizierung von Besuchern.
Dabei wird das Problem ausgenutzt, dass viele Webprogrammierer die Nutzereingaben ungefiltert direkt in die SQL-Abfragen übernehmen.

Wie funktioniert so einen SQL-Injection?
Hier ein kleines Beispiel in PHP, wie man eine User-Authentifizierung besser nicht bauen sollte:
1: $username = $_POST['username‘];
2: $password = $_POST['password'];
3: $sql = “SELECT * FROM tbl_user WHERE username=’”. $username .”‘ AND password=’”. $password.”‘”;
4: …

Schaut ja eigentlich auf den 1. Blick recht harmlos aus: Die SQL- Abfrage soll mir all jene User zurückliefern, bei denen entsprechender Username und das Passwort übereinstimmen.

Wenn ich z.B. als Usernamen Karl übergebe und als Passwort Myverlongpassword würde die SQL folgendermaßen an den Server geschickt
werden:
SELECT * FROM tbl_user WHERE username=’Karl’ AND password=’Myverlongpassword’

Nun kommt aber der Clou an der ganzen Sache:
Wie wäre es, wenn wir als Usernamen Admin übergeben und als Passwort x’ OR 1=1′?
Die SQL-Abfrage würde wie folgt lauten:
SELECT * FROM tbl_user WHERE username=’Admin’ AND password=’x’ OR 1=1

Hoppla, wenn es tatsächlich einen User mit dem Namen Admin gibt (solch einen Benutzernamen sollte man für Admins sowieso nicht verwenden) wird noch überprüft, ob das Passwort ‘x’ ist oder ob die Zahl 1 gleich der Zahl 1 ist, was wohl immer und überall zutreffen sollte. Wurde ein Account ‘Admin’
gefunden, wird der User nun eingeloggt, usw.

Wie schütze ich mich vor SQL-Injections?
Ein Grundregel für dich sollte beim Programmieren immer lauten: In ein Programm oder Script darf nie etwas ungefiltert von Außen hereinkommen. Das können Abfragen von anderen Webdiensten, Schnittstellen, etc. sein oder wie in unserem Fall eben Texteingaben z.B. aus einem Formularfeld.

Um Eingaben zu filtern gibt es sehr viele verschiedene Möglichkeiten und Ansätze:
Eine sehr effektive Möglichkeit wäre, nur bestimmte Zeichen wie z.B. a- z, A-Z, 0-9 durchzulassen. Hierfür gibt es bereits zahlreiche fertige Scripte, wie z.B. folgendes PHP-Script:

$string = preg_replace ( ‘/[^a-z0-9 ]/i’, ”, $string );
Jedoch sollte man eventuell einige Sonderzeichen für Passwörter erlauben, da diese das Knacken z.B. durch BruteForce (durchprobieren aller Kombinationen) erheblich erschweren oder zumindest verlängern.

Eine weitere wichtige Funktion stammt direkt von MySQL:
mysql_escape_string()

Diese “escaped” zahlreiche gefährliche Zeichen wie in unserem Beispiel das Apostroph (’) mit Hilfe von Backslashes (\). In unserem Beispiel oben würde aus x’ OR 1=1 dann gleich x\’ OR 1=1 werden, was in der SQL-Abfrage keine Probleme bereiten würde.

So präsentierte Kaspersky seine aktuelle Sicherheits-Software, Ditech zeigte neue Hardware und man konnte überall an zahlreichen Gewinnspielen teilnehmen. Außerdem fand im Zuge der Veranstaltung das Finale der österreichischen World Cyber Games statt und auf der dazugehörigen Bühne gab es viel Action bei Hardware-Verlosungen (Wer baut schneller einen Computer zusammen; Heiratsantrag an einen CPU- Kühler machen).

Eintritt bei der Veranstaltung war frei, wodurch wie schon im letzten Jahr über geschätzte 50 000 Besucher angelockt werden konnten. Für Kenner der MTV-Show “Game-One” war sicher ein Highlight, dass der Moderator Daniel “Budi” Budimann als Bühnensprecher bei der Bühne im Eingangsbereich (dieser Platz war wohl einer der schlechtmöglichsten dafür…) tätig war. Witzig fanden ich und meine Freunde auch den Retro-Bereich mit Amiga- und NES-Konsolen, die an sehr betagte Röhrenfernseher angeschlossen waren.

Einige Impressionen wie Bilder und Videos und weitere Infos gibt es auf www.game-city.at

Die NRW.Bank hat einen so genannten “Kreativwirtschaftsfond” von über 30 Mio. €uro befüllt und möchte damit Medienunternehmen finanziell unterstützen.

Nach Prof. Jörg Müller-Lietzkow (Medienorganisation und Mediensysteme) gäbe es in Deutschland insgesamt 7 000 Spieleentwickler. (EA Manaer Gerhard Florin hatte vor Kurzem diese Zahl auf 5 000 geschätzt).

Quelle und weitere Infos: http://winfuture.de/news,49186.html

Bei Dust 514 handelt es sich um einen Ego-Shooter, bei dem man als Infanterist Bodenkämpfe durchführen muss. Diese Kämpfe sollen direkten Einfluss auf die Politik und Hoheitsrechte der Allianzen im Eve Online-Universum haben. Wie bisher soll die gesamte Eve Online Welt eine einzige – nicht auf mehrere Server verteilte – bleiben. Ausgenommen des Servers für China, wie es bisher schon der Fall war.

Der Entwickler hofft, dass sich Gruppierungen aus Dust 514 mit den Allianzen aus Eve Online verbünden und somit gemeinsam versuchen den Weltraum zu erobern.

Quelle und weitere Infos: http://www.golem.de/0908/69136.html

Gestern haben sie nun das Geheimnis gelüftet und zum Vorschein kam der neue Dienst Opera Unite. Damit lässt sich der Browser Opera um zahlreiche Dienste erweitern, mit denen sich selbst für wenig computerversierte Surfer sehr schnell der eigene Computer in eine Art Webserver verwandeln lässt.

Der Dienst ist dabei in 6 verschiedene Teilservices untergliedert.

• File Sharing
  Einfacher Dateiaustausch, um überall auf die angebotenen Dateien zugreifen zu können. Es wird damit geworben, dass nun keine großen E-Mailattechments versandt oder große Uploads per FTP getätigt werden müssen. Meiner Meinung nach sehr mit dem Dienst Wuala vergleichbar.
• Media Player
  Ermöglicht den Zugriff auf die eigene Musik von überall per Internet. Natürlich sollte man nur “legal” erworbene/selbst erstellte/freie Musik verwenden. Somit muss man nicht die selbe Musik auf mehreren Geräten “duplizieren”.
• Web Server
  Verwandelt den eigenen Computer in einen Webserver um Webseiten zu hosten. Über die genauen Features konnte ich noch nix in Erfahrung bringen, dass hole ich eventuell in einem weiteren Beitrag nach.
• Fridge
  Hier kann man Notizen hinterlassen und hat diese auf allen Computern zur Verfügung. Alternativ könnte man z. B. iGoogle oder andere personalisierbare Startseiten verwendne.
• Photo Sharing
  Wie der Name vermuten lässt, ist hier das einfache Teilen von Bildern möglich. Es ist dadurch kein extra Upload notwendig. Alternativen (mit erforderlichem Upload) wären Google Picassa, Flickr, etc.
• The Lounge
  Hier kann man sich mit Freunden für eine Unterhaltung (Chat) treffen.

Alles in allem sehr schöne Sammlung von Tools, die es in ähnlicher Form – aber nicht so komfortabel – schon gibt. Mit der richtigen Marketingtechnik und viel Werbung könnte dieser Dienst auf alle Fälle sehr erfolgreich werden.

Außerdem sind auf der Seite Informationen für Entwickler von weiteren Diensten vorhanden. Sollte sich eine gewisse Anzahl von Addons ergeben, dann wird sich der Dienst wohl wirklich sehr verbreiten.

Auf der Seite unite.opera.com ist derzeit ein Youtube-Video zu sehen, dass den Dienst näher erklären soll.

Ein aktuelles Tech-Demo-Video auf Youtube soll zeigen, was damit alles möglich. Ich freue mich jedenfalls schon auf eventuelle Browsergames, die vielleicht einmal mit O3D umgesetzt werden (z. B. riesige Weltraum- oder auch Mittelalterschlachten wären damit sehr interessant auszutragen).

Hier das Video (2x daraufklicken um es auf Youtube in voller Größe zu sehen):

Simutrans wurde ganz dem guten alten Transport Tycoon nachempfunden. Das heißt, dass man bei einem neuen Spiel in einer Welt voller Städte und Dörfer und vielleicht einigen Verbindungsstraßen anfängt. Ziel ist es Waren und Personen von einem Punkt zum nächsten zu führen. Das hört sich ja zunächst eigentlich recht einfach an. Doch wird bei jedem Spiel eine eigene kleine Welt mit Angebot und Nachfrage und sehr komplexen Wirtschaftsabläufen simuliert. So gibt es zum Beispiel komplette Produktionsketten wie in etwa ein Sägewerk tief im Wald, von dem Holzstämme mit einem geeigneten LKW, Zug, etc. zu einer Möbelfabrik geliefert werden müssen. Diese produziert aber nur so lange Möbel, bis ihre sehr engen Lager befüllt sind. Das bedeutet wiederum, man muss ein zu belieferndes Möbelgeschäft in einer Stadt in der Nähe ausmachen und von der Möbelfabrik die Waren möglichst günstig dorthin liefern. Natürlich ist aber auch die Nachfrage nach Möbeln vor allem in kleinen Dörfern, die aber bei guter Marktlage und wenig Arbeitslosen schnell wachsen können, nicht unerschöpflich. Das ganze wäre nur ein Beispiel für eine kleine Produktionskette.

Interessant wird es auch, wenn man sich an den Personentransport heranwagt. Wenn man anfangs nur einige Bushaltestellen in einer Stadt verteilt und zwischen denen halbwegs logisch aufgebaut Linien betreibt, wird man dennoch nur wenige Fahrgäste haben. Es ist nämlich wichtig, in das Bus- und Bahnnetz viele gut besuchte Sehenswürdigkeiten einzubauen und vor allem mehrere größere Städte/Dörfer miteinander zu verbinden.

Auf alle Fälle handelt es sich bei Simutrans um ein sehr komplexes und weit fortgeschrittenes Projekt. Die Community erstellt ständig neue Grafikpakete mit neuen Produktionsketten, etc. und es kommen regelmäßig neue Versionen heraus (eine tägliche experimentelle nightly-build Version erscheint ebenfalls). Dazu gibt es noch Wikis in verschiedene Sprachen die den Aufbau und die Bedienung des Spiels erklären. Unter anderem sucht die Community auch noch Übersetzer, die z. B. auch Übersetzungen vom Englischen ins Deutsche und viele andere Sprachen vornehmen.

Offizelle Seite (engl.): http://simutrans.com
Deutsche Community: http://simutrans-germany.com

Es sind erste Elemente von Direct2D – einer hardwarebeschleunigten 2D Grafik-API und XNA Math, dass neue aufwendige mathematische Funktionen in XNA ermöglichen soll. Vor allem die Direct2D-API soll einen starken Geschwindigkeitsvorteil bei zweidimensionalen Objekten wie z. B. die GUI selbst in 3D-Spielen gegenüber per CPU berechneten 2D-APIs bringen.

Einen Blick ist das neue SDK (514,2 MB groß) auf alle Fälle wert:

Download-Seite aufrufen

Natürlich denken sich hier die meisten, dass einfach der Ping (Verzögerung) zu den Servern viel zu hoch sein müsste. OnLive verwendet allerdings die Technologie “Incubator”, die Ping-Zeiten von angeblich nahezu 1 Millisekunde ermöglichen.

Ein weiterer Vorteil dieser Methode der Spieleübertragung ist, dass man selbst keinen Highend-Rechner mehr braucht, um selbst hardwarefordernde Spiele wie Crysis mit vollen Details in HD spielen zu können. Das Bildsignal soll sich übrigens maximal mit 720p (~1280×1024) und 60 Bildern/s. übetragen lassen. Dafür wird aber eine Leitung mit ungefähr 5 MBit/s. Downstream benötigt. Für Standard-PAL-Auflösung reicht eine 1,5 MBit/s.-Leitung.

Sämtliche befragte Spielehersteller, darunter auch EA, Ubisoft, THQ, Atari und einige andere, sind von der Technologie hellauf begeistert. So wäre es hiermit mal möglich, nahezu die gesamte Produktpiraterie mit einem Schlag einzuschrenken. Vorausgesetzt wird hier allerdings, dass OnLive wirklich einen vernünftigen Ping und unterbrechungsfreie Leitungen ermöglicht.