SQL-Injection

[joni]

Hi,
ich hab mir mal n bisschen was über SQL-Injection durchgelesen und verucht mein eigenes Script damit zu unterlaufen.
$nid wird über einen Link via Browser an die Datei weiter gegeben, die folgenden Code beinhaltet:

$sql = \"SELECT * FROM $news WHERE id=\'$nid\' \";

 
Nach der SQL-Injection Theorie müsste man es doch schaffen die SQL-Abfrage ungültig zu machen indem man einfach:

datei.php?$nid = 1\' AND 1=\'2

 
Im Browser eingibt.
Aber mein Script führt den Query trotzdem wie gewohnt aus.
Ich bereinige die $nid nicht oder so, man müsste sie eigentlich wunderbar missbrauchen können.
Wenn ich in der Datei selbst vor den Query $nid = 1\' AND 1=\'2 schreibe, schlägt der Query fehl.
Wisst ihr, was ich mit der SQL-Injection falsch mache?
Würde mein Script gerne sicherer machen.
Danke schonmal,
Joni

[sabre]

guck doch mal ob die \"magic quotes\" an sind /uploads/emoticons/icon_e_smile.gif.f7ec63a2b1c3d90a9415e40455642502.gif\" alt=\":-)\" />

[joni]

Was meinst du mit magic quotes?

[mahe]

Da wird bei GET, POST, COOKIE automatisch escaped /uploads/emoticons/icon_e_wink.gif.3167d127940f44558fbf1ccd9b6d60a9.gif\" alt=\";-)\" />