Beiträge von Kaliber

Ahh, okay

Also man kann Tabellennamen nicht escapen mit pdo auf diese Art und Weise.

Mach am Besten eine Whitelist für die Tabellennamen:

<?php
try
{
	$pdo = new PDO('mysql:host=localhost;dbname=ibis', 'ibis', 'cD33', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
}
catch(PDOException $e)
{
	echo $e->getMessage();
	exit;
} 
function isTableOk($table)
{
	switch($table)
	{
		case "users": case "auchok": return true;
	}
	return false;
}
if(!isTableOk($_GET["table"])) die("Ungültiger Tabellenname!");
$p0 = intval($_GET["p0"]);
$p1 = intval($_GET["p1"]);
$p2 = intval($_GET["p2"]);
$p3 = intval($_GET["p3"]);
$p4 = intval($_GET["p4"]);
$p5 = intval($_GET["p5"]);


$statement = $pdo->prepare("SELECT * FROM `".$_GET["table"]."` WHERE `id` IN (?,?,?,?,?,?)");
$statement->execute(array($p0,$p1,$p2,$p3,$p4,$p5));   
while($row = $statement->fetch()) {
   echo  $row["username"]. "," ; 
}
?>

Kannst du n screen von deiner MySQL Tabelle machen?

Zitat von BreadScript

$pdo = new PDO('mysql:host=localhost;dbname=ibis', 'ibis', 'pw');

Schreib das mal so:

try
{
    $pdo = new PDO('mysql:host=localhost;dbname=ibis', 'ibis', 'pw', array(PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8'));
}
catch(PDOException $e)
{
    echo $e->getMessage();
    exit;
}

Wie sieht denn der Code aus?

Hast den Spaltennamen richtig angegeben?

Da machst du ja auch Quatsch, dass ist so gar nicht das, was ich geschrieben hatte

<?php
$pdo = new PDO('mysql:host=localhost;dbname=ibis', 'ibis', 'X8roh7^7');


$p0 = intval($_GET["p0"]);
$p1 = intval($_GET["p1"]);
$p2 = intval($_GET["p2"]);
$p3 = intval($_GET["p3"]);
$p4 = intval($_GET["p4"]);
$p5 = intval($_GET["p5"]);
$statement = $pdo->prepare("SELECT * FROM `?` WHERE `id` IN (?,?,?,?,?,?)");
$statement->execute(array($_GET["table"],$p0,$p1,$p2,$p3,$p4,$p5));   
while($row = $statement->fetch()) {
   echo  $row["spaltenname"]. "," ; 
}
?>

//Edit: Du musst den Spaltennamen angeben in row und keine Zahl, beim normalen fetch in pdo.

Du brauchst nicht MySQLi und PDO nutzen.

Prepared heißt nur, dass die einzelnen Variablen escaped werden, selbiges machst du mit mysqli escape string.

Theoretisch kannst du den Code von oben verwenden, dort ist schon alles escaped und SQL-Injections in dem Sinne sind nicht möglich.

Zitat von BreadScript

Ich habe das nun auch nochmal mit den Ziffern probiert allerdings findet er da kein Resultat obwohl die Tabelle vorhanden ist

Um dir da zu helfen, bräuchten wir die Info, was du genau eingibst und wie genau deine Tabelle aussieht (evtl Screen)

Zitat von BreadScript

Wie ist es dann sinnvoll wenn man mehrere von Hundert verschiedenen Daten aus einer Datenbank Abfragen möchte wo die Tabellennamen immer anders sind ?

Er wollte nur darauf aufmerksam machen, dass jeder dann an deine Datenbank Querys senden könnte und dadurch Sicherheitsmängel entstehen.
Aber ich denke mal, du nutzt das nur privat und nicht produktiv oder?

Also da wo diese Zahl ist (1601), da gehört eigentlich der Tabellenname rein.

Hatte weiter oben schon ein Beispiel dafür:

$table = mysqli_real_escape_string($con, $_GET['table']);
$query = "SELECT * FROM $table WHERE `id` IN ($p0,$p1,$p2,$p3,$p4,$p5)";

Dann kannste die URL so machen: http://deineDomain.de?p0=2&p1=3&p2=4&p3=5&p4=6&p5=7&table=1601

oder alles andere

Ja, das sollte so gemacht werden

Was wird denn ausgegeben?

Also wenn du nur die mittlere Spalte möchtest, würde ein einfaches echo $row[1].","; reichen, aber da du mehr Spalten ausgibst, sollte die Mittlere trotzdem immer vorhanden sein

Ahja, dann kannst du es so machen:

$p0 = intval($_GET["p0"]);
$p1 = intval($_GET["p1"]);
$p2 = intval($_GET["p2"]);
$p3 = intval($_GET["p3"]);
$p4 = intval($_GET["p4"]);
$p5 = intval($_GET["p5"]);
$query = "SELECT * FROM users WHERE `id` IN ($p0,$p1,$p2,$p3,$p4,$p5)";

Und aufrufen dann: http://deineDomain.de?p0=1&p1=2&p2=3&p3=4&p4=5&p5=6

Dann würde er die IDs von 1-6 abfragen.

Gibt hier viele Lösungsmöglichkeiten, kannst auch nur einen Parameter mit Trennzeichen übergeben und dann aufsplitten.

Hoffe habe dich richtig verstanden gehabt

Zitat von BreadScript

In der URL soll angegeben werden welche ID abgerufen werden soll

Also ab welcher ID und dann 6 stück?

oder sollen die 6 IDs einzeln angegeben werden?

Achso, das geht entweder so:

$query = "SELECT * FROM users WHERE id < 7";

oder du nimmst einfach die ersten 6 Einträge (unabhängig von der id)

$query = "SELECT * FROM users LIMIT 6";

Versuch dich nochmal präziser, am Besten mit Code (kann auch pseudo Code sein) und Beispielen auszudrücken, ich verstehe nämlich gerade nicht, was du vor hast

Zum Beispiel so:

$table = mysqli_real_escape_string($con, $_GET['table']);
$query = "SELECT * FROM $table";

Und dann so nutzen:

http://deineURL.de?table=blabla

oder irgendwas anderes eben

Ich seh das eher so wie KuchenTV:

Du hast vermutlich einen Klammerfehler gemacht oder allozierst zu viel Speicher, z.B. hast du irgendwo stehen new string[999999999]; .

Kann einige Ursachen haben für den Compiler Crash, am einfachsten ist es, du fängst mit dem Klammerfehler an.

Kopier dein Skript am Besten in Notepad++ und zähle wie viele { und } du so verwendest.

Wenn die Anzahl unterschiedlich ist weißte, dass du einen Klammerfehler gemacht hast

Hoffe du hast in der Zeit auch mal deinen PC neugestartet, daran kann es auch manchmal liegen, dass irgendwelche Prozesse den Zugriff auf irgendwas blockieren.

Wenn neugestartet, dann eventuell nochmal Kompatibilität verstellen (auf win7 oder XP 3), unter Dokumente -> GTA SA Files löschen.

Eventuell downgraden, weiß ja nicht, was du für eine Version hast: Downgraden

und wenn alles nicht geht, evtl nochmal neu installieren

Ist ein eher seltener Fehler, den du da hast

Führe mal SA:MP als Administrator aus, vielleicht hilft das

Wenn, dann beide Achsen immer gleich ändern
Aber sieht doch gut aus

Vielleicht bin ich Manuel Neuer