{"id":464,"date":"2008-01-06T23:50:10","date_gmt":"2008-01-06T21:50:10","guid":{"rendered":"http:\/\/www.mitternachtshacking.de\/blog\/464-webserver-logfiles-direkt-in-die-sql-datenbank"},"modified":"2018-05-22T22:26:14","modified_gmt":"2018-05-22T21:26:14","slug":"webserver-logfiles-direkt-in-die-sql-datenbank","status":"publish","type":"post","link":"https:\/\/www.mitternachtshacking.de\/blog\/464-webserver-logfiles-direkt-in-die-sql-datenbank","title":{"rendered":"Webserver-Logfiles direkt in die SQL-Datenbank"},"content":{"rendered":"

Auf meinem Server hier ist Logging ja weitgehend abgeschaltet (zumindest das Access-Log, nicht jedoch das Error-Log). Das hat den Vorteil, Daten die nicht vorhanden sind, muss (und kann) man im Zweifel nicht rausr\u00fccken. Der Apache schreibt die Logfiles standardm\u00e4\u00dfig sowieso nur in eine Datei und die kann man auch gut auf \/dev\/null<\/a> verlinken. Dann ist das Log so zuverl\u00e4ssig weg wie die Daten auf einem Windows Home Server<\/a>.<\/p>\n

Manche machen das ja ein wenig anders. Der T\u00dcV Rheinland<\/a> zum Beispiel. F\u00fcr den sind die Logfiles offensichtlich so wichtig, dass er sie direkt in eine SQL-Datenbank schreibt. Nicht ganz sauber programmiert zwar, aber das f\u00e4llt meistens eh nicht nicht auf. Dieser Link<\/a> (aus dem 24C3 Hacks-Wiki<\/a>) zeigt das Problem auf. Als PHPSESSIONID einfach „‚UNION‘<\/em>„\u00fcbergeben und schon kackt das Logging ab. Ein wundervolles Beispiel f\u00fcr SQL-Injection. Wenn man sich den Sourcecode der Webseite direkt anschaut sieht man ganz unten das Problem:<\/p>\n