Informatyka UJ forum

cheater_

Mam taki problem:

Pawel Str.

0. Masz ładne SQL injection :)

1. Sprawdź, czy driver, którego używa PHP jest kompatybilny z tą wersją serwera.

Pawel Str.

2. Usuń ten średnik, ma szanse pomóc.

exeman

Ja nie widze sql injection, na defaulotowej konfiguracji php magic quotes jest wlaczone.

W ogole cheater, po co sie mordujesz z sprintfem. W php mozesz normalnie dokonywac konkatenacji stringow za pomoca operatora ".".

//
edit: Byl "+" jako konkatenacja, poprawione :)

Przemek

Pawel Str.

@exeman - magic_quotes_gpc to jedna z największych pomyłek w PHP, zresztą i tak nie daje gwarancji (poszukaj sobie BIG5 attack). Powinno się robić mysql_real_escape, ale dobra, może to jest zrobione wcześniej.

Ale to off-topic, bo nie powinno mieć wpływu.

jagm

cheater_ · Wysłany: Sob 1:43, 01 Mar 2008 Temat postu:

dzieki za rady, jak odeśpię, sprawdzę ich działanie (;

Pawel Str. · Wysłany: Sob 17:55, 01 Mar 2008 Temat postu:

@jagm - dlatego, że nie wszystkie dane trafiają od razu do bazy danych, często trzeba je np. wyświetlić na stronie. Poza tym jest to paskudne psucie architektury - dane na wejściu są rekodowane do postaci utrudniającej przetwarzanie, ale za to zdatnej dla protokołu wyjściowego - który jednak wcale nie musi być tym właściwym.... Większość porządnych aplikacji PHP4/5 zaczyna od sprawdzenia, czy magic_quotes_gpc jest włączone, i jeżeli tak - robi stripslashes na całym $_REQUEST/$_GET/$_POST, dzięki czemu da się danych jakoś rozsądnie użyć.

Co masz na myśli pisząc o union?

jagm · Wysłany: Sob 19:35, 01 Mar 2008 Temat postu:

np cos takiego jak w pierwszym przykladzie: [link widoczny dla zalogowanych]

Pawel Str. · Wysłany: Nie 2:48, 02 Mar 2008 Temat postu:

Nie. Dlatego powinien byś sprintf %d (a ja zazwyczaj i tak obkładam to wcześniej intvalem). Ale dla zwykłych łańcuchów tekstowych addslashes jest niewystarczjące, a tylko przeszkadza.

Zresztą i tak najfajniej jest kiedy baza obsługuje query parameters.

exeman · Wysłany: Nie 15:05, 02 Mar 2008 Temat postu:

Paweł, dlaczego uważasz, że addslashes nie wystarcza?

Pawel Str. · Wysłany: Nie 15:43, 02 Mar 2008 Temat postu:

Bo ignoruje kodowanie znaków i cechy specyficzne dla bazy. Jeżeli baza używa np kodowania BIG5 (chińskie), to slash jest prawidłowym fragmentem znaku wielobajtowego. Da się skonstruować taką sekwencję, która po potraktowaniu addslashes będzie zawierała "niezaeskejpowany" cudzysłów.

exeman · Wysłany: Nie 15:49, 02 Mar 2008 Temat postu:

Wow, sprytne! Ciekawe jak sobie php'owcy radzą z tym problemem w chinach.

Pawel Str. · Wysłany: Nie 16:59, 02 Mar 2008 Temat postu:

Tak jak pisałem.... mysql_real_escape...