14-06-06, 12:22
|
# 1 |
|
הוסטסניון
|
הצילו!! חור אבטחה שגיליתי!! (PHP) - תעזרו לי בבקשה...
שלום..
היום קראתי מאמר לא קצר על שפת הSQL... שם נאמר כיצד ניתן לפרוץ בשימוש בSQL... עכשיו שם נאמר שאם יש לי שיאלתה כזאת: SELECT * FROM table WERE use='a' OR a='a' אז הוא יחשיב את זה ככאילו שהקלדתי שם משתמש נכון... מה לעשות? כיצד אפשר למנוע שימוש בפסיקים וזה? |
|
|
14-06-06, 12:25
|
# 2 |
|
משתמש - היכל התהילה
|
ב"ה
במשתנים שאתה מקבל מטפסים שעלולים להיות מסוכנים תעשה החלפה של הסימנים הללו בתווי הASCII שלהם.
__________________
קו ישר, כי אפשר גם אחרת |
|
|
|
14-06-06, 12:30
|
# 3 |
|
הוסטסניון
|
איפה אני יכול למצוא רשימה של כל התווים והקוד הASCI שלהם?
|
|
|
|
14-06-06, 13:02
|
# 4 |
|
משתמש תחת חוזה ניסיון.
|
__________________
|
|
|
|
14-06-06, 13:07
|
# 5 | |
|
הנהלת הפורום לשעבר
|
ציטוט:
mysql_escape_string והכל יהיה בסדר. |
|
|
|
|
14-06-06, 13:17
|
# 6 |
|
הוסטסניון
|
מה הפונקציה הזאת עושה?
|
|
|
|
14-06-06, 13:57
|
# 7 |
|
משתמש - היכל התהילה
|
ב"ה
מחליפה את התווים הבעיתיים לבד.
__________________
קו ישר, כי אפשר גם אחרת |
|
|
|
14-06-06, 14:14
|
# 8 |
|
הוסטסניון
|
 תודה! אבל אם ירשמו OR או WHERE או LIKE או כל דבר אחר? |
|
|
|
14-06-06, 14:19
|
# 9 |
|
משתמש - היכל התהילה
|
ב"ה
זה לא ישנה כי זה יהיה בתוך סוגריים או גרשיים אז הMYSQL יתיחס לזה כמחרוזת.
__________________
קו ישר, כי אפשר גם אחרת |
|
|
|
14-06-06, 14:22
|
# 10 |
|
הוסטסניון
|
ואם אני יכתוב:
' OR a='a אז מה הוא יראה? ואילו תווים הוא יחליף? את הגרשים, גרש, והגרש העקום? (`) |
|
|
 |
| חברים פעילים הצופים באשכול זה: 1 (0 חברים ו- 1 אורחים) | |
| כלים לאשכול | |
| תצורת הצגה | |
|
|
עבור למצב קווי
