faecher:informatik:oberstufe:datenbanken:projekt:java_db:java_db_schuelerliste_suche:start []

Diese Seite ist nicht editierbar. Du kannst den Quelltext sehen, jedoch nicht verändern. Kontaktiere den Administrator, wenn du glaubst, dass hier ein Fehler vorliegt.
~~NOTOC~~
====== Flexible Abfragen: In der Schülerliste suchen ======

Du solltest das Projekt [[https://codeberg.org/info-bw-wiki/bluej-db-schuelerliste|Schülerliste]] bereits für den ersten Projektschritt geklont und bearbeitet haben. 

Gehe jetzt wie folgt vor:

  * Erstelle einen Commit mit den Änderungen deines Arbeitsverzeichnisses: 
    * ''git add .''
    * ''git commit -m "Schritt 1"''

Bevor du auf dieser Seite weiterarbeitest, checke den Branch ''insert'' aus: 
    * ''git checkout insert''

Öffne das Bluej-Projekt und dort die Klasse ''SchuelerListe''.

----
{{:aufgabe.png?nolink  |}}
=== (A1) ===

Untersuche die Methoden ''printListe()'' und ''printSuche(String bedingung)'' der Klasse ''SchuelerListe''. 

  * Worin unterscheiden sie sich?
  * Teste beide Methoden. Wie muss eine Suchbedingung aussehen?
    * Gib alle Schüler aus, deren Nachname mit W beginnt
    * Gib alle Datensätze aus, die ein a enthalten.
    * Gib alle Datensätze aus, die ein b enthalten oder deren Vorname mit S beginnt.

++++ Lösungshinweise |
Bei der Ausgabe der kompletten Schülerliste wird ein fest codiertes SQL Statement ausgeführt, der Benutzer des Java Programms hat keinen Einfluss auf die durchgeführte Abfrage.

<code java>
Statement statement = DBConnection.createStatement();
String querystring = "SELECT * FROM schueler WHERE " + bedingungen;
ResultSet result = statement.executeQuery(querystring);
</code>

Bei der Methode ''suche'' wird de Querystring sehr frei zusammengefügt - vorgegeben ist lediglich, dass alle Attribute der Tabelle ''schueler'' ausgewählt werden sollen, die der vollkommen frei wählbaren Bedingung entsprechen, die vom Nutzer an das Programm übergeben wird.
++++

---- 

Die Abfragemöglichkeiten sind auf diese Weise sehr flexibel - meist möchte man nicht, dass der Benutzer völlig frei Bedingungen angeben kann, welche Daten er sehen kann.

Im nächsten Schritt soll die Suche also so eingeschränkt werden, dass Name und Vorname zu einem Datensatz angezeigt werden, nachdem die Mailadresse angegeben wurde. So soll erreicht werden, dass man zunächst die Mailadresse kennen muss, um die erlaubten Daten zu sehen.  

----
{{:aufgabe.png?nolink  |}}
=== (A2) ===

Ändere den Query-String so ab, dass nur noch nach Mail-Adressen gesucht werden kann. Frage so die Daten ab, die zur Mail-Adresse ''leo@gmx.de'' gehören.

++++ Lösungsvorschläge |

**Variante 1:**  
<code java>
String querystring = "SELECT * FROM schueler WHERE SEmail=" + bedingungen ;
</code>

Hier muss die Mail Adresse bei der Abfrage der Methodenparameter in Anführungszeichen eingegeben werden: 
<code>
"'leo@gmx.de'"
</code>

**Variante 2:** 
<code java>
String querystring = "SELECT * FROM schueler WHERE SEmail='" + bedingungen + "'";
</code>

Hier sind die Anführungszeichen im Query-String vorgegeben, man kann die Mail-Adresse ganz normal als einfachen String eingeben.
++++

----
{{:aufgabe.png?nolink  |}}
=== (A3) ===

Übernehme die Variante 2 aus den Lösungsvorschlägen der vorigen Aufgabe in deinen Code. Gelingt es dir, trotz der Einschränkung der Bedingung auf die Mail-Adresse einen String für den Methodenparameter zu finden, der dir alle Schüler ausgibt? 

++++ Lösungsvorschlag |
Es gibt mehrere  Möglichkeiten, z.B.

<code>
"leo@gmx.de' OR SNachname LIKE '%"
</code>

++++

---- 

==== SQL-Injection ====


Du hast eine **SQL-Injection** durchgeführt: Das ist eine (leider) häufige Sicherheitslücke bei der Programmierung von Datenbanken, die es  Angreifern erlaubt Operationen durchzuführen, zu denen sie eigentlich nicht berechtigt sind. In diesem Fall sollte die Eingabe dazu führen, dass nur der zur Mailadresse gehörige Datensatz ausgegeben wird, durch eine geschickte Eingabe erhält man aber alle Datensätze.

<callout type="danger" icon="true">
Grundsätzlich ist immer größte Vorsicht geboten, wenn man in einem Programm mit **Daten** arbeitet, die **durch Benutzer eingegeben werden**. Man muss stets damit rechnen, dass bösartige Anwender ganz andere Daten eingeben, als man erwartet.
</callout> 

{{ :faecher:informatik:oberstufe:datenbanken:projekt:java_db:java_db_schuelerliste_suche:exploits_of_a_mom_2x.png?500 |}}
https://xkcd.com/327/

Du kannst das als "Angreifer" im [[.injectme:start|Exkurs: InjectMe]] selbst ausführlicher ausprobieren, wenn du magst.

==== Gegenmaßnahmen ====

Wenn man in einer Datenbankabfrage Benutzereingaben als Parameter verwenden möchte, sollte man immer sogenannte Prepared Statemens verwenden. Das sieht dann so aus: 

<code java>
import java.sql.PreparedStatement;
// [...]

PreparedStatement statement = DBConnection.prepareStatement(
  "SELECT * FROM benutzer WHERE username = ? AND password = ?"
); // ? als Platzhalter, keine Anführungszeichen

// username und passwd werden vom Benutzer eingegeben
statement.setString(1, username);
statement.setString(2, passwd);

ResultSet result = statement.executeQuery();
// [...]
</code> 

----
{{:aufgabe.png?nolink  |}}
=== (A4) ===

Passe den Code so an, dass die Methode ''suche'' als Eingabe die Mailadresse und den Vornamen des Schülers entgegennimmt und genau den Datensatz ausgibt, der zu dieser Kombination passt. Verwende ein Prepared Statement um Falscheingaben abzufangen. Teste, ob du die Abfrage überlisten kannst.

++++ Lösungsvorschlag |
<code java>
[...]
PreparedStatement statement = DBConnection.prepareStatement("SELECT * FROM schueler WHERE SEmail=? AND SVorname=?");
statement.setString(1,mail);
statement.setString(2,vname);

ResultSet result = statement.executeQuery();
[...]
</code>
++++

===== Material =====
 

[[https://slides.info-bw.de/fs-wiki-java-db-02/|Präsentation - SQL Injection]] [[https://slides.info-bw.de/fs-wiki-java-db-02/?print-pdf|(PDF)]]((Link öffnen, dann aus dem Browser in ein PDF drucken))