Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Кардинальный метод защиты от XSS и атак по подстановке SQL-з..., opennews (??), 17-Июн-10, (0) [смотреть все] Зачем это А внешних кавычек conn- query select from table where fname fn, Аноним (-), 00:40 , 17-Июн-10, (1) –8 // fname xxx delete from table select goodbye conn- query select from , XoRe (ok), 00:49 , 17-Июн-10, (3) +2 PHP-программисты такие програссимты ясное дело что подставление ковычек -- НЕ , Аноним (-), 21:26 , 18-Июн-10, (98) +1 // В PHP достаточно юзать PDO и bindColumn -методы для достижения того же самого р, Kibab (ok), 09:34 , 21-Июн-10, (102) Очень интересно Просто и гениально Хотя все сводится к тому, что программисты в , XoRe (ok), 00:42 , 17-Июн-10, (2) +1 // По-моему он экранирование переизобрел И даже если принять синтаксис , непонятн, _Vitaly_ (ok), 01:14 , 17-Июн-10, (7) +4 // В том-то и дело, что экранировать сплошь и рядом забывают или криво экранируют, , Аноним (-), 04:23 , 17-Июн-10, (19) +2 // А ещё можно экранировать при включенном автоэкранировании, тоже весело Так что , zazik (ok), 10:30 , 17-Июн-10, (41) Когда разработчики не дураки, обычно запросы идут через прослойку, которая автом, _Vitaly_ (ok), 12:19 , 17-Июн-10, (56) +3 Да суть-то в другом Чтобы была схема юзер что-то ввел в форму - оно кодируется в, XoRe (ok), 11:24 , 18-Июн-10, (91) +4 Теперь просек Действительно хороший выход для тех, кто без врапперов пишет , _Vitaly_ (ok), 00:15 , 20-Июн-10, (100) идея конечно гениальнаНОесли у меня в базе будут base64 закодированные данные, т, ffsdmad (ok), 01:00 , 17-Июн-10, (4) –1 // Base64 передается в только в запросе, завернутый в вызов функции преобразования , Alex (??), 01:16 , 17-Июн-10, (8) –1 // а какой смысл если после декодирования в запросе появится лишняя кавычка или joi, ffsdmad (ok), 01:20 , 17-Июн-10, (10) –2 // либо это должно быть встроено в субд, всмысле врапер, чтобы раскодированная стро, ffsdmad (ok), 01:22 , 17-Июн-10, (11) +1 само собой, base64 декодируется уже внутри СУБД, средствами субд и представляет , Аноним (-), 05:15 , 17-Июн-10, (24) +3 base64 всегда буквы и цифры, т е чтобы не делал в запросе всегда будут буквы и , Аноним (-), 04:27 , 17-Июн-10, (20) +1 непонятно, так если я введу например через веб-форму or в переменную fna, ссс (?), 01:03 , 17-Июн-10, (5) –1 // получивший известность обнаружением фундаментальной уязвимости в , ffsdmad (ok), 01:04 , 17-Июн-10, (6) Не выполнит , аноним (?), 01:43 , 17-Июн-10, (12) +2 В запросе к базе будет вместо вашего or - b64d DSSDDQEd , и уже СУБД д, Аноним (-), 04:32 , 17-Июн-10, (22) +1 А 2 года назад меня пытались заплевать http sql ru forum actualthread aspx t, vvvua (ok), 01:18 , 17-Июн-10, (9) +1 // А тебя и сейчас за это заплюют и правильно сделают , аноним (?), 01:44 , 17-Июн-10, (13) –1 Вы предгагаете сделать так INSERT INTO table VALUES _base64_enoded_string_ , Аноним (-), 01:57 , 17-Июн-10, (15) // Практика показывает, что экранирование под давлением человеческого фактора совсе, Аноним (-), 04:34 , 17-Июн-10, (23) И правильно заплевали Ваше решение из разряда защитимся от XSS и для этого всё в, pento (?), 02:01 , 17-Июн-10, (17) // Верно сказано Чем эти методы лучше использования, скажем, PDO с параметрами и н, Gambler (ok), 03:02 , 17-Июн-10, (18) +1 Вы ошиблись Я не от XSS защищал, а от SQL injection Это разные вещи Кроме тог, vvvua (ok), 14:55 , 17-Июн-10, (72) // gt оверквотинг удален 1 Я в курсе того, чем отличаются XSS от SQL-инъекции2 , pento (ok), 15:52 , 17-Июн-10, (74) На счет костыльного решения - 100 Что моё, что Камински Я не приветствую решен, vvvua (ok), 16:02 , 18-Июн-10, (96) Лол Base64 в целях безопасности, такого еще не было , аноним (?), 06:39 , 17-Июн-10, (25) –5 Вы предлагали совсем другое Глупо хранить в базе все строки в base64 , FractalizeR (ok), 10:26 , 17-Июн-10, (39) +1 // Как по мне, похожее предложение Да, другая проверка на соответствие base64 На , vvvua (ok), 14:48 , 17-Июн-10, (71) –1 // Читайте еще раз Абсолютно не похожее , FractalizeR (ok), 14:57 , 17-Июн-10, (73) +1 Во всех нормальных библиотеках это происходит и так псевдокод query parse , tonnzor (?), 01:45 , 17-Июн-10, (14) +5 // Автор это объясняет тем, что ни один програмер не пишет параметризированные запр, filosofem (ok), 01:59 , 17-Июн-10, (16) // Фигня Параметризованные запросы сильно ускоряют работу при использовании норм, Sabitov (?), 06:51 , 17-Июн-10, (27) +3 // Зачем mysqli да, если есть выбор пиши под постгрес, не пожалеешь И автора не , filosofem (ok), 08:22 , 17-Июн-10, (29) Раз уж пошла такая пьянка Есть неочевидный фактор, который заставляет меня ус, Pashugan (?), 13:07 , 17-Июн-10, (61) +1 Ты написал тупость, которая даже в мена костыле MySQL уже не соответствует дейст, аноним (?), 17:19 , 17-Июн-10, (80) –1 Вообще написал он правильно - разница в скорости выполнения минимальна Вызов фун, Ivan1986 (?), 20:35 , 17-Июн-10, (86) +1 Вы в корне не правы или правы в некотором частном случае может быть для MySQL , onk (?), 11:44 , 18-Июн-10, (92) +1 Так ли в корне он неправ Помимо времени на компиляцию запроса есть ещё фактор д, Pashugan (?), 14:52 , 18-Июн-10, (94) Я знаю, что правильно написал, потому что проверял это реальными тестами mysqli,, Pashugan (?), 14:39 , 18-Июн-10, (93) Семь раз RTFM, один раз rm -rf D, tupka (?), 19:34 , 18-Июн-10, (97) +1 Полная чушь, если нормально реализовано, то никто просто не захочет писать не па, Ivan1986 (?), 09:08 , 17-Июн-10, (30) +1 // Вся прелесть параметризованных запросов как-то в миг рушится, когда параметром о, Lain_13 (?), 09:44 , 17-Июн-10, (33) Сходите по ссылке select from _table - префикс - по сути самый часто использ, ivan1986 (?), 10:06 , 17-Июн-10, (37) +1 Дык кто бы сомневался - творчеВство пехепешников - оно вообще вштыряет не по дет, аноним (?), 17:24 , 17-Июн-10, (81) +1 Что именно чушь Если СУБД не поддерживает параметризированные запросы, то никак, filosofem (ok), 11:17 , 17-Июн-10, (43) Я ее дописывал, а не только проверял Что может - использует встроенные параметри, ivan1986 (?), 11:25 , 17-Июн-10, (44) А вам не кажется, что использование черного ящика , который то экранирует то па, Аноним (-), 11:33 , 17-Июн-10, (46) А вам не кажется, что придумывание своего велосипеда, который хоть и известен до, ivan1986 (?), 11:44 , 17-Июн-10, (48) Вот видите, вы сами подтвердили мою гипотезу о том, что не стоит доверять внешни, Аноним (-), 11:49 , 17-Июн-10, (50) Вы только что доказали, что вы Аналитик с лора Тоесть вы предлагаете экранирова, ivan1986 (?), 11:59 , 17-Июн-10, (52) +1 Я предлагаю не испытывать излишнего доверия к черным ящикам , так как в этом ли, Аноним (-), 12:17 , 17-Июн-10, (55) +1 Понятно, позиция называется - пишем на ассемблере все Вы сейчас несете чушь - ис, ivan1986 (?), 12:34 , 17-Июн-10, (57) Стоп, это же именно вы предлагайте использовать левую нестандартную библиотеку в, Аноним (-), 13:11 , 17-Июн-10, (63) Нет, я как раз предлагаю использовать стандартные функции - в случае mysql - mys, ivan1986 (?), 13:22 , 17-Июн-10, (65) Я пробовал принимать в mainstream - , Аноним (-), 14:15 , 17-Июн-10, (70) Release Date 2006-06-02, Sw00p aka Jerom (?), 20:48 , 17-Июн-10, (87) Не вижу проблем писать код вида псевдокод conn- query SELECT FROM table WH, Аноним (-), 13:47 , 17-Июн-10, (67)   // вот тут-то как раз собака и порылась - если использовать биндинг то параметры вс, Cobold (??), 16:13 , 17-Июн-10, (75)   // Да, все правильно По сути этоиу правилу удовлетворяет PDO, а симпла, про которую, ivan1986 (?), 16:42 , 17-Июн-10, (79)   Вот в Постгрес есть такая тема, можно задавать любые ограничители типа somethin, Аноним (-), 06:39 , 17-Июн-10, (26) +1 Это всё конечно интересно, да вот только ПМСМ нормальные программеры итак заботя, anthonio (ok), 09:24 , 17-Июн-10, (31) // Только нормальный программеров раз-два и обчелся, или их код обязательно будет р, Аноним (-), 09:52 , 17-Июн-10, (35) // Значит пишут спустя рукава Или это PHP виноват , anthonio (ok), 10:01 , 17-Июн-10, (36) // А кто мешает писать спустя рукава с использованием именно этого метода Разве, FractalizeR (ok), 10:27 , 17-Июн-10, (40) +1 Вы считаете что у друпала или у джумлы хороший код Блин, да достаточно посмотрет, ivan1986 (?), 10:20 , 17-Июн-10, (38) +1 // Давайте пойдем от обратного, можете привести пример качественного PHP-проекта, к, Аноним (-), 11:25 , 17-Июн-10, (45) Ну например ZendFramework - довольно хороший код Неплохой в кохане, правда не ос, ivan1986 (?), 11:47 , 17-Июн-10, (49) Вообще по части библиотеки доступа к базе данных - если при запросе к базе данны, ivan1986 (?), 11:53 , 17-Июн-10, (51) Безумие какое-то workaround для безграмотности BTW - параметризованные запрос, Slautin (?), 09:27 , 17-Июн-10, (32) +1 // если учесть сколько народу пишет для mysql, то там нативного биндинга нет и изза, Cobold (??), 12:15 , 17-Июн-10, (54) Иногда да, иногда нет См комментарий 61 , Pashugan (?), 13:11 , 17-Июн-10, (62) // нет , на мой взгляд, справедливо для очень узкого круга задач, обычно очень про, Slautin (?), 09:22 , 18-Июн-10, (90) // Я как раз говорил, что в типичном скриптовом веб-приложении скорее всего буде, Pashugan (?), 15:35 , 18-Июн-10, (95) ИМХО автор просто подошёл к проблеме интересным образом Я не говорю, что он реш, ixti (ok), 11:15 , 17-Июн-10, (42) // Верно, решение интересное Возможно, что в каких-то других областях программиров, Gambler (ok), 04:21 , 18-Июн-10, (89) На самом деле действительно гениально и просто Я бы, по крайней мере, до такого , zuborg (?), 11:34 , 17-Июн-10, (47) совсем крыша поехала, вставлять eval и рассуждать о безопасности Кроме того эта, Cobold (??), 12:06 , 17-Июн-10, (53) +1 1 нифига этот метод не универсальный а если запрос conn- query select from , terr0rist (ok), 12:42 , 17-Июн-10, (58) // Последний вывод у вас странный Есть нормальные проекты, просто блин никто в здра, ivan1986 (?), 12:53 , 17-Июн-10, (59) // gt оверквотинг удален Зря Вы так про опенсорс, просто бывают разные модели раз, Cobold (??), 13:17 , 17-Июн-10, (64) // Я так не про олпенсорс вообще, а про разработку силами комьюнити Вот если разраб, ivan1986 (?), 13:25 , 17-Июн-10, (66) как-то довелось делать аудит для чужого проекта с тремя тысячами запросами по ко, Cobold (??), 13:05 , 17-Июн-10, (60) +1 А что бы вместо пхп предпочли вы , noname (??), 22:13 , 21-Июн-10, (103) В то время, как такие, как Вы, орут об убогости пхп на форумах, нормальные разра, Kibab (ok), 19:49 , 22-Июн-10, (104) Ну, и ещё раз о главном хоть, это возможно просто пример За conn- query f, Аноним (-), 14:02 , 17-Июн-10, (69) // ха-ха-ха За второй вариант по яйцам бить нужно так-же больно , ivan1986 (?), 16:38 , 17-Июн-10, (78) Странно, что устроили такой холивар на пустом месте Никто не заставляет вас исп, Aleksey (??), 16:24 , 17-Июн-10, (76) // не смешно, ivan1986 (?), 16:34 , 17-Июн-10, (77) Способ конечно неплохой, но не всегда удобный Кроме того, есть ещё такая вещь ка, anonymous (??), 18:38 , 17-Июн-10, (83) // Я хотел сказать очень старый баян , anonymous (??), 18:40 , 17-Июн-10, (84) Проблема в том, что base64 - по природе своей костыль Если подумать, экраниров, StrangeAttractor (ok), 21:27 , 18-Июн-10, (99) base64 ничем не лучше встроенных в БД методов квотирования, а минусы есть -- д, RinNas (?), 12:48 , 30-Июл-10, (105) 1,2,4,5,9,14,26,31,32,42,47,53,58,69,76,83,99,105

Сообщения

[Сортировка по времени | RSS]

	67. "bind"	+/–
	Сообщение от Аноним (-), 17-Июн-10, 13:47
	Не вижу проблем писать код вида (псевдокод): $conn->query("SELECT * FROM table WHERE fname='".$conn->quote($fname)."'"; Меня ни разу не обламывает экранировать переменные. Хотя, тут больше приходятся полагаться на внимание разработчика. Но, неужели сложно экранировать ВСЕ переменные, если нет уверенности в разработчике? Просто принять это как договорённость при разаработке проекта. А за неэкранированные больно бить по гениталиям. ИМХО, компактней, чем bind. Но о вкусах не спорят. ) Bind тоже катит. )
	Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

	75. "bind"	+/–
	Сообщение от Cobold (??), 17-Июн-10, 16:13
	вот тут-то как раз собака и порылась - если использовать биндинг то параметры всегда экранированы, совсем без участия разработчика, а если полагаться на экранирование "по ходу", то разработчик постоянно должен об этом думать (будто ему больше заняться нечем). В проекте с тысячами запросов это просто нереально, будь программисты хоть абсолютные педанты, кто угодно может забыть или просмотреть что-то. И случается это часто как раз в таких местах где визуально не сразу и заметишь, так что полагаться на то что другие коллеги обнаружат тоже нельзя. Поэтому такие дыры лучше ищутся автоматизированно, но тогда это уже аудит называется и стоит отдельно. Или жить с риском что кто-нибудь сделает это за тебя, но только тогда этот кто-то может отверстием сразу и попользоваться. А оно надо, весь этот гемморой?
	Ответить | Правка | Наверх | Cообщить модератору

	79. "bind"	+/–
	Сообщение от ivan1986 (?), 17-Июн-10, 16:42
	Да, все правильно. По сути этоиу правилу удовлетворяет PDO, а симпла, про которую я писал выше - это доведенное до нормального интерфейса PDO.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема