Pytania oznaczone «sql-injection»

Odpowiedzi na to pytanie są dziełem społeczności . Edytuj istniejące odpowiedzi, aby poprawić ten post. Obecnie nie akceptuje nowych odpowiedzi ani interakcji. Czy jesteś w stanie przesłać stos w przepełnieniu stosu : Czy masz już SQL-ин PHPекций w PHP?...

Czy jest gdzieś funkcja catchall, która działa dobrze w odkażaniu danych wejściowych użytkownika dla iniekcji SQL i ataków XSS, jednocześnie dopuszczając pewne typy tagów

Wystarczy spojrzeć na: (Źródło: https://xkcd.com/327/ ) Co robi ten SQL: Robert'); DROP TABLE STUDENTS; -- Znam oba 'i jestem --do komentowania, ale czy to słowo DROPrównież nie jest komentowane, ponieważ jest częścią tego samego

Powiedzmy, że mam taki kod: $dbh = new PDO("blahblah"); $stmt = $dbh->prepare('SELECT * FROM users where username = :username'); $stmt->execute( array(':username' => $_REQUEST['username']) ); Dokumentacja ChNP mówi: Parametry gotowych instrukcji nie muszą być cytowane; kierowca...

Czy istnieje możliwość wstrzyknięcia SQL, nawet przy użyciu mysql_real_escape_string()funkcji? Rozważ tę przykładową sytuację. SQL jest zbudowany w PHP w następujący sposób: $login = mysql_real_escape_string(GetFromPost('login')); $password =

W jaki sposób przygotowane instrukcje pomagają nam zapobiegać atakom typu SQL injection ? Wikipedia mówi: Przygotowane instrukcje są odporne na iniekcję SQL, ponieważ wartości parametrów, które są przesyłane później przy użyciu innego protokołu, nie muszą być poprawnie chronione. Jeśli...

Próbuję umieścić w javie jakiś iniekcję anti sql i jest mi bardzo trudno pracować z funkcją string „replaceAll”. Ostatecznie potrzebuję funkcji, która skonwertuje wszystkie istniejące \na \\, dowolne "na \", dowolne 'na \'i dowolne \nna \\ntak, że gdy ciąg jest oceniany przez wstrzyknięcia SQL...

Zdaję sobie sprawę, że sparametryzowane zapytania SQL są optymalnym sposobem oczyszczenia danych wejściowych użytkownika podczas tworzenia zapytań zawierających dane wejściowe użytkownika, ale zastanawiam się, co jest złego w przyjmowaniu danych wejściowych użytkownika i unikaniu pojedynczych...

Wiem, że PreparedStatements unikają / zapobiegają iniekcji SQL. Jak to się dzieje? Czy kwerenda w postaci ostatecznej, która została utworzona przy użyciu PreparedStatements, będzie ciągiem znaków, czy w inny

Wcześniej dzisiaj zadano pytanie dotyczące strategii sprawdzania poprawności danych wejściowych w aplikacjach internetowych . Najlepsza odpowiedź w momencie pisania sugeruje PHPużycie tylko htmlspecialcharsi mysql_real_escape_string. Moje pytanie brzmi: czy to zawsze wystarczy? Czy powinniśmy...

Jestem bardzo nowy w pracy z bazami danych. Teraz mogę napisać SELECT, UPDATE, DELETEi INSERTpoleceń. Ale widziałem wiele forów, na których wolimy pisać: SELECT empSalary from employee where salary = @salary ...zamiast: SELECT empSalary from employee where salary = txtSalary.Text Dlaczego...

Jeśli chodzi o wstrzykiwanie SQL , w pełni rozumiem konieczność parametryzacji stringparametru; to jedna z najstarszych sztuczek w tej książce. Ale kiedy można uzasadnić brak parametryzacji SqlCommand? Czy jakiekolwiek typy danych są uważane za „bezpieczne”, jeśli nie można ich parametryzować? Na...

Mamy tutaj inną dyskusję na temat używania sparametryzowanych zapytań sql w naszym kodzie. Mamy dwie strony dyskusji: ja i kilku innych, którzy twierdzą, że powinniśmy zawsze używać parametrów do ochrony przed wstrzyknięciami sql i innymi facetami, którzy nie uważają, że jest to konieczne. Zamiast...

Rozumiem, że NIGDY nie należy ufać wprowadzaniu danych przez użytkownika z formularza, głównie ze względu na możliwość wstrzyknięcia SQL. Czy dotyczy to jednak również formularza, w którym jedyne dane wejściowe pochodzą z listy rozwijanej (patrz poniżej)? Zapisuję $_POST['size']do sesji,...

Czy można zapobiec iniekcjom SQL w Node.js (najlepiej za pomocą modułu) w taki sam sposób, w jaki PHP miał przygotowane instrukcje, które chroniły przed nimi. Jeśli tak to jak? Jeśli nie, to jakie przykłady mogą ominąć podany przeze mnie kod (patrz poniżej). Jakiś kontekst: Tworzę aplikację...

Przekazywałem zarówno moim kolegom, jak i tutaj w SO, zalety używania parametrów w zapytaniach SQL, zwłaszcza w aplikacjach .NET. Posunąłem się nawet do obietnicy, że dają im odporność na ataki typu SQL injection. Ale zaczynam się zastanawiać, czy to naprawdę prawda. Czy istnieją znane ataki...

Jeśli tak, dlaczego wciąż jest tak wiele udanych wstrzyknięć SQL? Tylko dlatego, że niektórzy programiści są zbyt głupi, aby używać sparametryzowanych instrukcji?