sql-injection

1熱

2答えて

Kohanaは、ドキュメントのデータベース入力をサニタイズするためにmysql_real_escape_stringを使用すると述べています。しかし、フォームを通していくつかの基本的なクエリを試しながら、入力したのとまったく同じようにデータベースに入力されました。たとえば、 SELECT * FROM users WHERE username='admin' AND password='' OR

0熱

3答えて

SQL、Microsoft SQl

私はシステムのログインユニットをテストしていました。私のシステムは、このように設計されて - ユーザーは、ユーザーID入力した場合 - 合格ABCDとパスワード、サーバは、これらのパラメータを受け取り、SQLコマンドを準備し、Microsoftデータベース - select password from UserInformationTable where userid = 'abcd'; 返さ

10熱

1答えて

Amazon SimpleDBをSQLインジェクションから保護するにはどうしたらいいですか？

AmazonのSimpleDBがサポートしているSQL風味のあるクエリは、「ダックのように歩き、アヒルのように聞こえる」という原則の下で、SQLインジェクション型攻撃の影響を受けやすいはずです。ここでは、攻撃者の入力は変数$カテゴリに入る、と彼はカラム名を推測できるとされていると仮定し、簡単な例です： $category = "Clothes' OR Category LIKE '%"; $re

2熱

2答えて

いくつかのオプションの検索用語を含むパラメータ化されたクエリ

私は多くのデータを持つWebアプリケーションと、名前、ステータス、日付などのいくつかのフィールドを持つ検索/フィルタ関数を持っています。私は、通常の（非検索）クエリのために、このようなパラメータ化クエリを使用している： $id = $_POST['itemID']; $db = mysqli_connect($host, $username, $password, $database); $s

1熱

3答えて

DataTableの列の中にユーザー入力を検索する方法

は現在、私は以下のように探しています。のDataRow []行= dataTable.Select（ "フィールド名= '" + ユーザ入力+ "'"）。ここで問題となるのは、ユーザーが一重引用符(')を入力するたびにエラーをスローします。私は容易ことによってそれを修正することができのDataRow []行= dataTable.Select（ "フィールド名= '" + userInpu

3熱

2答えて

データベースに書き込まなければならない入力を保護する手順は？

私はTextがPOSTテキストエリアであると言います。その分野で私は何を書いてもいいと思う。 XSS、SQL、およびその他の最終的な不良コードなど。マークアップではBBCodeを使用しますので、コードを表示せずに表示したいと考えています。もちろん、私が避けたいのは、DBが壊れてしまうことです！非常に安全これを行う方法はありますか？私が実際に行う手順は次のとおりです。には、Content-T

1熱

2答えて

jQuery、JavaScriptの配列/オブジェクトのSQLインジェクションの問題

Iveに問題があり、修正方法がわかりません。私のサイトでは、いくつかのデータを表示するモジュールで、jquery domを使用し、javascript配列からいくつかの要素を作成します。魔法使いにはjavascriptオブジェクトが含まれています。この配列はphpで生成され、postgresデータベースからデータを取得します。ユーザーがデータベースを挿入しようとすると、データベースは文字列を

10熱

2答えて

パフォーマンス上の理由からレール

内の任意のパラメータ化されたSQLを実行する方法を、私はいくつかの任意のSQLを実行し、私のRailsのモデルに新たなメソッドを記述する必要があります。 UPDATE table SET col1 = ? AND col2 = ? WHERE id = ? 私は文字列でActiveRecord::Base.connection.executeまたはActiveRecord:

2熱

4答えて

PHPセキュリティチェックリスト（注射、セッションなど）

セキュリティを最大限に高めるためにPHPとMySqlを使用する人はどのようなことに焦点を当てるべきですか？私が行っている物事：は私のテーブル名 -50character塩+ RIPEMDパスワード相続人は私の前にEMに -Placedランダムアルファ数字を脱出した後、-validate、すべての入力すべての入力を-mysql_real_escape_string私が眠っていると思う： -

0熱

3答えて

SQLクエリのハッシュ・パスワード・フィールドに、パラメータ化されたコール/サニタイズ/エスケープ文字が必要ですか？

ウェブサイトのログインシステムを作成する場合、SQLインジェクション攻撃を防ぐために、パラメータ化された呼び出し、ユーザー入力の消毒、および/または特殊文字のエスケープの組み合わせを使用することが標準です。しかし、良いログインシステムでも、すべてのパスワードをSQLクエリに入れる前にハッシュ（およびおそらく塩）する必要があります。パスワードでSQLインジェクション攻撃を心配する必要はありますか？