Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 20
>>А там было пусто…
Ну так нужно было добавить =)
Ну так нужно было добавить =)
О безопасности работы с mysql для php в интернете написано статей больше, чем страниц в 4х томах войны и мира… Давно же есть возможность использовать pdo & prepared statement, но почему же авторы уповают на addslashes непонятно.
В этом комментарии содержится несколько заблуждений
1. С подавляющим большинством кодировок addslashes() абсолютно безопасна, если используется по назначению.
2. Сами по себе pdo & prepared statement в случае воображаемой автором атаки — не панацея, и при установках по умолчанию пропустит инъекцию за здорово живешь. Чтобы в кодировках, подверженных данному типу инъекции, атака становилась невозможной, ПДО надо настраивать специально.
3. Дарагая похапешечка, вместе со всеми своими функциями и расширениями, тут как бы вообще не при чем.
1. С подавляющим большинством кодировок addslashes() абсолютно безопасна, если используется по назначению.
2. Сами по себе pdo & prepared statement в случае воображаемой автором атаки — не панацея, и при установках по умолчанию пропустит инъекцию за здорово живешь. Чтобы в кодировках, подверженных данному типу инъекции, атака становилась невозможной, ПДО надо настраивать специально.
3. Дарагая похапешечка, вместе со всеми своими функциями и расширениями, тут как бы вообще не при чем.
да судя по всему, там asp старый и пхпшечки там как бэ и нет.
Не хочу спорить, но $stmt->bind(index, $data, \PDO::PARAM_STR); при отключенном EMULATE_PREPARES вполне безопасна.
И да, извиняюсь за PHP, но когда читал пост, мне казалось что автор уверен в том, что это php (хотя я явно видел расширения .asp):
И да, извиняюсь за PHP, но когда читал пост, мне казалось что автор уверен в том, что это php (хотя я явно видел расширения .asp):
Не работает? Ужас. Попробуем изловчиться и заменим одинарную кавычку ' знаком 0xbf5c27 (¿\’ в ASCII), чтобы пройти через PHP'шную защиту addslashes().
Я полагаю, что сами разработчики ресурса не смогли наполнить секцию ругательств на этом языке по причине кавычки.
смешались в кучу кони, люди, php, asp, mysql, error 80040e14…
Что-то я не совсем понял про волшебный символ 0xbf5c27
«Волшебный» он только в кодировке GBK. Сайт с ругательствами — китайский?
И почему сайт выдал ошибку на кавычку, если, по мнению автора, addslashes таки исользуется?
Пост больше напоминает «реальные» истории с башорга, при ближайшем рассмотрении оказывающиеся целиком высосанными из пальца. Дополненную, в данном случае, унылой копипастой.
«Волшебный» он только в кодировке GBK. Сайт с ругательствами — китайский?
И почему сайт выдал ошибку на кавычку, если, по мнению автора, addslashes таки исользуется?
Пост больше напоминает «реальные» истории с башорга, при ближайшем рассмотрении оказывающиеся целиком высосанными из пальца. Дополненную, в данном случае, унылой копипастой.
addslashes насколько я помню не защищает только в некоторых кодировках.
Факи по SQLi уже много лет блуждают по просторам сети, элементарный и подробный разбор: forum.antichat.ru/thread43966.html
Зачем это на хабре?
Факи по SQLi уже много лет блуждают по просторам сети, элементарный и подробный разбор: forum.antichat.ru/thread43966.html
Зачем это на хабре?
По ссылке выше написана полная ересь, которую извиняет только доисторическая дата написания.
Сюда это постить не стоило.
Сюда это постить не стоило.
В чем там ересь?
Я вас умоляю.
Если такие вещи надо объяснять, то это заранее бесполезно.
Предназначение этого текста — вызывать восхищение у детей младшей школы, и с этой задачей он справляется прекрасно. Это всё.
Такого рода опусы все пишутся под одну копирку:
— про поиск уязвимости — ничего
— про защиту — хочется плакать кровавыми слезами
— про эксплуатацию — аффтар щеголяет знанием пары банальных SQL операторов, дотоле неизвестных незадачливому читателю, выдавая их за сакральные хакирские техники (при этом в подавляющем большинстве случаев никогда сам их не применял, а тупо скопипастил у такого-же горе-писаки, и не в состоянии объяснить, как и почему работает или не работает тот или иной запрос)
Для того, чтобы осуществить инъекцию, не нужно быть хакиром и читать макулатурные статьи.
Надо просто знать SQL. Если не знаешь — то набор наизусть выученных «приемчиков» тебе не поможет. А если знаешь — то не понадобится.
Если такие вещи надо объяснять, то это заранее бесполезно.
Предназначение этого текста — вызывать восхищение у детей младшей школы, и с этой задачей он справляется прекрасно. Это всё.
Такого рода опусы все пишутся под одну копирку:
— про поиск уязвимости — ничего
— про защиту — хочется плакать кровавыми слезами
— про эксплуатацию — аффтар щеголяет знанием пары банальных SQL операторов, дотоле неизвестных незадачливому читателю, выдавая их за сакральные хакирские техники (при этом в подавляющем большинстве случаев никогда сам их не применял, а тупо скопипастил у такого-же горе-писаки, и не в состоянии объяснить, как и почему работает или не работает тот или иной запрос)
Для того, чтобы осуществить инъекцию, не нужно быть хакиром и читать макулатурные статьи.
Надо просто знать SQL. Если не знаешь — то набор наизусть выученных «приемчиков» тебе не поможет. А если знаешь — то не понадобится.
ну что опять за старьё, да еще и самым дурацким способом, когда можно все сделать меньшими и олее простыми запросами?
sqlmap не натравливали?
В общем, эта публикация как бы говорит нам, что получения вожделенных гражданских прав не нужно обладать ни знаниями, ни опытом, ни совестью.
Нужно всего лишь немного наглости и воображения:
1. Найти в интернете копипасту от очередного незнайки с кучей ляпов в стиле «слышал звон, да не знаю где он».
2. Перевести её (снова без малейшего понимания, оставив все ляпы на месте).
3. Нафантазировать пару красивых деталей от себя.
4. На критические замечания отвечать в стиле «божья роса».
5. PROFIT!!!
Нужно всего лишь немного наглости и воображения:
1. Найти в интернете копипасту от очередного незнайки с кучей ляпов в стиле «слышал звон, да не знаю где он».
2. Перевести её (снова без малейшего понимания, оставив все ляпы на месте).
3. Нафантазировать пару красивых деталей от себя.
4. На критические замечания отвечать в стиле «божья роса».
5. PROFIT!!!
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Error based MySQL injection или не надо ругаться