Schmock Mutter nicht ausreichend versorgt  fast verhungert Mutter bei Geburt verstorben Schmock mit Flasche aufgezogen.

Präsentation zum Thema: "Schmock Mutter nicht ausreichend versorgt  fast verhungert Mutter bei Geburt verstorben Schmock mit Flasche aufgezogen."—  Präsentation transkript:

1

2 Schmock Mutter nicht ausreichend versorgt  fast verhungert Mutter bei Geburt verstorben Schmock mit Flasche aufgezogen

3 Schmock lebt auf dem Argenhof
175 Tiere

4

5 - Liegt in der Nähe von Wangen

6 - Über 7,5 ha Fläche  ca. 10 Fußballfelder

7 Verwaltungsmitarbeiter
Führen Tierbestandsbuch Erweiterung des Online-Tierbestandsbuch im Projekt

8 Aufgaben Besonderheiten Inhalt 1:30 Überblick

9 Webapplikation Ruby on Rails Basiert auf Ruby MVC-Architektur

10 Kurze Vorstellung der wichtigsten Funktionen
4:00

11 Tiere in Tabellenform Filterung nach allen Lamas Filterung nach allen verstorbenen Tieren

12 Pflegebehandlungen in Tabelle
Eintragung einer Impfung

13 Besonderheiten Besonderheiten 3:30 Überblick

14 3 3 Dinge, die beachtet werden müssen 1.: Namenskonventionen bei Rails

15 Convention over Configuration
Konventionen werden eingehalten  Konfiguration wird automatisch vorgenommen Konfiguration auch manuell möglich  hoher Aufwand, Fehler schwer zu finden

16 Tier Behandlung erhält ist animals_cares animals cares m n
Ein Tier kann mehrere Behandlungen erhalten Eine Behandlung kann bei mehreren Tieren vorgenommen werden Tabellennamen immer im Plural Tabellennamen immer auf Englisch Wegen m:n-Beziehung in relationaler Datenbank: Zwischentabelle animals_cares Beide Tabellen im Plural Unterstrich dazwischen Reihenfolge alphabetisch ist animals cares

17 2.: Anpassung der Datenbankabfragen
2 verschiedene Datenbanken 8:00

18 Test- und Entwicklungsumgebung: SQLite
SQLite dafür sehr gut geeignet Nicht für Produktivumgebung geeignet

19 Produktivumgebung: PostgreSQL
Funktionen außerhalb des SQL-Standards Ausgedruckte Methoden austeilen

20 strftime extract SQLite: strftime, um nach dem Jahr zu filtern
PostgreSQL: extract

21 - 3.: wichtigster Punkt - 10:00

22 Sicherheit Nur Browser und Internetverbindung benötig, um in Tierbestandsbuch einzudringen

23 SQL-Injection

24 Normalerweise: Eingabe des Tiernamens
Angreifer: Eingabe eines SQL-Befehls Anzeige aller Tiere Gefahr: Angreifer kann komplette Datenbank auslesen, Daten verändern, Daten löschen etc.

25 WHERE (name LIKE 'Schmock')
SELECT * FROM "animals" Was passiert bei der SQL-Injection? SQL-Statement, bei dem alle Tiere mit dem Namen Schmock angezeigt werden WHERE (name LIKE 'Schmock')

26 WHERE (name LIKE '' or 1)--')
SELECT * FROM "animals" SQL-Befehl anstatt Tiername Tier mit leerem Namen wird gesucht 1 immer wahr  gesamtes Or-Statement wahr Bindestriche als Kommentar Ausgabe aller Tiere WHERE (name LIKE '' or 1)--')

27 where("name LIKE '#{animal}'")
Wie können SQL-Injections verhindert werden? Unsicherer Code  Variable direkt in SQL-Statement eingebunden Sicherer Code  Variable als Parameter ActiveRecord überprüft Wert vor der Ausführung where("name LIKE ?", animal)

28 where("name LIKE '#{animal}'")

29 WHERE (name LIKE '' or 1)--')
SELECT * FROM "animals" WHERE (name LIKE '' or 1)--') - Automatisches Hinzufügen eines Hochkommas nach einem Hochkomma im Übergabewert

30 WHERE (name LIKE ''' or 1)--')
SELECT * FROM "animals" WHERE (name LIKE ''' or 1)--') Hochkomma wir escaped Ungewollte SQL-Anweisung wird nicht ausgeführt

31 Kein Tier mit gesuchtem Namen vorhanden
Kein Tier wird angezeigt

32 Anpassung der Abfragen
Namenskonventionen Anpassung der Abfragen - Zusammenfasssung Parametrisierung

33 Aufgaben Besonderheiten Erklärung der Aufgaben 13:00 Überblick

34 Support Wartung - Zusammenfassung Erweiterung

35 Support Argenhof soll bei Fragen oder Problemen unterstützt werden

36 Wartung Fehler sollen behoben werden Neue Tierarten eintragen

37 Erweiterung Hinzufügen weiterer Funktionen Eingabe von Tiergruppen ohne Namen für jedes Tier

38 - Durch Online-Tierbestandsbuch mehr Zeit für andere Dinge ;)