sql-injection

1熱

1答えて

私は私の学校のプロジェクトをやっています。私はHPE Fortifyを使って見つかった問題をすべてデバッグする作業をしています。アプリケーションによって生成されたレポートは、SQLインジェクションになりやすい以下のコードを示します。 String sql = " select Distinct p1.desc1,p2.desc2 from parameter p1" +" inne

0熱

2答えて

SQLインジェクションを引き起こす可能性のある文字を削除する関数

ストアドプロシージャで動的SQLを使用する必要があります。動的SQLはSQLオブジェクトを作成するため、パラメータ化してsp_executesqlで実行することはできません。ストアドプロシージャのパラメータ変数をチェックし、不正な文字があるかどうかを教えるSQL関数がありますか？またはそれらを削除するか、これらの文字のリストがありますか？ DECLARE @variable = 'passwo

0熱

2答えて

mysqli_stmt_prepareでクエリを準備すると、WHEREの後に論理条件がバインドされる

時間の経過とともに変化するフィルタに基づいてクエリを動的に起動する必要があります。フィルターが文字列変数$filterにあるたびに。 WHEREの後に次のコードのようにバインドできますか？それは動作していないようです。私が期待したクエリは、値だけではなく、構文要素をバインドすることができSELECT NAME FROM PERSONA WHERE GENDER='F' $filter = "GEN

2熱

1答えて

私のコードはSQLインジェクションプルーフですか？

このSQL注入証明はありますか？少なくとも、大丈夫ですか？私はこれをオンラインで手に入れましたので、本当に助けを得ることができました。私は現在かなりのプログラムを構築しており、支払いをしたいと思ったらログインページを追加することにしました。助けてください！ if (txt_UserName.Text == "" || txt_Password.Text == "") { Message

-4熱

1答えて

PHP防止SQLインジェクション/ XSS

私は、現時点ではこれらのコードを持っている： > <?PHP > > if(isset($_POST['update'])) { > $ts=$_POST['ts']; > $user=$_POST['user']; > > mysql_query("UPDATE users SET blo

0熱

1答えて

selectionArgs配列に渡されたすべての変数をサニタイズする方法はありますか？

Veracode Static Scanレポートは、コンテンツプロバイダの実装におけるSQLインジェクションの欠陥を示します。以前、私はこの欠陥に関するすべての疑問に関連してこのquestionを投稿しました。私はいくつかの議論の後、私はそれがレポートで偽陽性である可能性があるという結論に達しました。私が調べて読んだことによると、私はAndroidのdocsとother reference

0熱

1答えて

sqlmapはsoap本体のパラメータ経由で挿入しますか？

石鹸ボディブローのようなものです： <?xml version="1.0" encoding="utf-8"?> <soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.x

1熱

2答えて

制限句にSQLインジェクション

次のクエリでSQLインジェクションを悪用する可能性はありますか？ mysql_query("SELECT `one`, `two`, `three` FROM test LIMIT ".$vulnerablepost.",2;") or die(mysql_error()); 可能なクエリの可能性はありますか？ SELECT OUTFILEを実行することは可能ですか？ありがとう

-2熱

2答えて

パラメータ化されたプロシージャを使用したSQLインジェクション

このSQLインジェクションの問題に関する少しの助けが必要です。以下は、パラメータ化されたストアドプロシージャのバージョンです。アプリケーションからの呼び出し方法を除いて、@v_stringが動的SQLとして扱われることを防ぐにはどうしますか？これはかなり水密だと思います。実行または連結されたSQLはありませんが、セミコロンを挿入しても、追加のデータが返されます。私はこの質問を考慮するには複数

0熱

1答えて

where in句のユーザが提供するサブクエリによるインジェクション攻撃はありますか？

私たちは、ユーザがSQL文を使ってリストをフィルタリングできるようにする機能を持っています。ユーザー供給の文は次のように使用され、本質的には次のとおりです。 select * from table where id in (subquery) -- where subquery is given by the user 私はそれ); delete from table; --とdelete