header location aus Variablen

[Alexander (HH)]

<?$nr = $_GET['nr'];
   $db = mysql_connect ("localhost","root","data") ;
   $SQLBefehl = "SELECT * FROM products WHERE arejays_products_id = '$nr';";
   $Werte= mysql_db_query("arejays", $SQLBefehl, $db);

Oh Jubel! Die SQL-Injection, vor der ich gestern (https://forum.selfhtml.org/?t=156605&m=1018749) gewarnt habe, ist immer noch drin.

Ein Aufruf mit ?nr=42'%20or%20'1'='1 und schon ist das Ding mächtig durcheinander. Mit ?nr=42'%20or%201=1%20into%20outfile%20'somefile.php kann ich auch noch Dateien auf dem Server anlegen. Bleibt nur zu hoffen, dass "root" in MySQL und "root" auf Betriebssystemebene nichts miteinander zu tun haben.

Hinweise, wie das Problem zu beheben ist, habe ich gestern gegeben, "dedlfix" hat auch noch eine hilfreiche Anmerkung über alternative Schnittstellen gemacht.

Alexander