Predpazvane ot Exploit na MYSQL prez php
6 отговора
288 прегледа
Predpazvane ot Exploit na MYSQL prez php
Interesuva me slednia kazus:
Imam baza danni s tablica i red v koyato imam dve poleta.
Ako dyrpam info s php ot ednoto pole, ima li vyzmognost neotorizirano da se polzva sy6tata php stranica za da se izdyrpa infoto ot vtoroto pole Dostypa do bazata e samo to local nivo kyde e i razpologena php stranicata.
Ako da kakvi sa na4inite za predpazvane
Predvaritelno vi blagodaria!
Imam baza danni s tablica i red v koyato imam dve poleta.
Ako dyrpam info s php ot ednoto pole, ima li vyzmognost neotorizirano da se polzva sy6tata php stranica za da se izdyrpa infoto ot vtoroto pole Dostypa do bazata e samo to local nivo kyde e i razpologena php stranicata.
Ako da kakvi sa na4inite za predpazvane
Predvaritelno vi blagodaria!
Re: Predpazvane ot Exploit na MYSQL prez php
Има начин, ако си го позволил. Иначе - не.
Общо взето ако си използвал mysql_fetch_object или mysql_fetch_assoc и след това си използвал именуваните променливи, трудно ще стане.
Все пак прекарвай всички променливи, които даваш на базата през mysql_escape_string() и ги ограждай в единични кавички.
Everything louder than everything else...
Общо взето ако си използвал mysql_fetch_object или mysql_fetch_assoc и след това си използвал именуваните променливи, трудно ще стане.
Все пак прекарвай всички променливи, които даваш на базата през mysql_escape_string() и ги ограждай в единични кавички.
Everything louder than everything else...
Re: Predpazvane ot Exploit na MYSQL prez php
Bili mi pokazal kak 6te stane tova naprimer za tazi zayavka:
<?
$link = mysql_connect('localhost',"local","pass")
or die("Could not connect");
mysql_select_db("teotour")
or die ("Could not select database");
$query_3="SELECT title,id FROM `table` order by id desc ";
$result_3 = mysql_query($query_3)
or die (mysql_error());
?>
Mnogo blagodaria.
<?
$link = mysql_connect('localhost',"local","pass")
or die("Could not connect");
mysql_select_db("teotour")
or die ("Could not select database");
$query_3="SELECT title,id FROM `table` order by id desc ";
$result_3 = mysql_query($query_3)
or die (mysql_error());
?>
Mnogo blagodaria.
...
1. Опитай да пишеш на кирилица.
2. Мисли малко преди да пишеш.
3. Не се опитвай да разработваш комерсиални сайтове след като не си сигурен в знанията си - намери си професионалист.
4. Пиши си заявките сам, а не да копираш от phpMyAdmin
Очевидно е query_3 НЯМА как да го предпазиш ЗАЩОТО няма какво да предпазваш !
Предпазват се заявки, чиито параметри получаваш и не си сигурен в тях!
Ама в това МЕИ нищо ли не ви учат ...
root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy
2. Мисли малко преди да пишеш.
3. Не се опитвай да разработваш комерсиални сайтове след като не си сигурен в знанията си - намери си професионалист.
4. Пиши си заявките сам, а не да копираш от phpMyAdmin
Очевидно е query_3 НЯМА как да го предпазиш ЗАЩОТО няма какво да предпазваш !
Предпазват се заявки, чиито параметри получаваш и не си сигурен в тях!
Ама в това МЕИ нищо ли не ви учат ...
root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy
