ASP aplikacija i zastita od SQL injectiona

Re: ASP aplikacija i zastita od SQL injectiona 07.10.2005. u 21:16 · pre 256 meseci #21

Provajder ti to nece dozvoliti.

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Re: ASP aplikacija i zastita od SQL injectiona 08.10.2005. u 10:17 · pre 256 meseci #22

Upravo tako - sem ako nemate svoj Web server(proveravao sam, oko 1000 evra kosta server housing kod vecine provajdera). Do tad ostaje validacija kroz ASP skripte...

Re: ASP aplikacija i zastita od SQL injectiona 10.10.2005. u 10:38 · pre 256 meseci #23

Citat:

Shadowed: Provajder ti to nece dozvoliti.

To je druga tema, ali tvoja rupa otvara pristup njegovom sql serveru pa se vrlo lepo mogu videti njegovi useri, objekti u master bazi i sl.

Koliko je to reklama za provajdera ne znam....

Cinjenica je da su oni userima ogranicili prava, ali znam svoj username i svoj pass. Znam ostale username-ove. Ne moram da brute-forcujem njih, mozda su password dodelili na osnovu username-a koji, btw, posetilac sajta ne bi trebalo da vidi ni moj username.
Tu su i linkovani serveri ako ih ima ( a mogu se videti ) .....
Ja sam nabasao na 1452 baze kod jednog stranog provajdera, i nesto vise usernamova (ima ih vise jer su tu i sistemski) samo testirajuci sajt svog prijatelja koji je jedan od tih 1452.
Kazem, to sto oni ne dozvoljavaju, to je njihov problem.
Cinjenica je da mora da se startuje regsvr32....
Ajd, odgovorite, kako na svom, intranet webserveru, da uradim .dll i da ga postavim.

Pavlov kod je sasvim OK, i ono sto bi u n.pr. VB6 trebalo uradim nije nikakva mudrost, ali STA DA KUCAM U GLOBAL.ASA ?

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 01:09 · pre 254 meseci #24

Čitam ovo i na prvi pogled delovalo je interesantno i da može da se upotrebi, ali onda mi je palo na pamet čemu sve ovo ?? Nigde ne mogu da napišem "Select" kao parametar?Šta ako pišem na engleskom pa mi treba ta reč?

Citat:

"Please select your country"

Pročitao sam par tekstova na ovu temu i koliko sam video sve se svodi na to da se prekine izvršavanje zadate naredbe i da se ubaci svoja kao npr.

Code:

Param1 = request("param1")
db.execute "Select * from tabela1 where ime like '" & Param1 &"'"

i ako se kao param1 posalje

Citat:

bezveze' ; drop table tabela1

nastane haos (možda je glup primer, ali shvatate)

Ali ako se onaj kod malo ispravi da bude ovakav

Code:

Param1 = request("param1")
Param1 = Replace(Param1, "'", "''")
db.execute "Select * from tabela1 where ime like '" & Param1 &"'"

... koliko sam upoznat ovo bi trebalo da radi bez greške šta god da se upiše kao parametar koji se salje na stranicu

ili ako se očekuje broj

Code:

Param1 = request("param1")
if Isnumeric(Param1) = True then
db.execute "Select * from tabela1 where ID =" & Param1
end if

Da li se varam ili je ovo najbolja zaštita od SQL injectiona?

_{[Ovu poruku je menjao vujkev dana 18.11.2005. u 02:09 GMT+1]}

_{[Ovu poruku je menjao vujkev dana 18.11.2005. u 02:10 GMT+1]}

Potpis

Naučio sam...
Da je važnije biti ljubazan nego biti u pravu

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 07:12 · pre 254 meseci #25

Ne postoji najbolja zastita ali je to sto si naveo i sl. potrebno uraditi. Validacija podataka je vrlo pozeljna stvar, nezavisno od SQL injaction-a.

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 11:19 · pre 254 meseci #26

Evo definitivno najbolje konstrukcije u VB u za validaciju numeric inputa, ujedno i zastita od SQL injecta:

for i=1 to Len(Broj)
if Mid(Broj,i,1) < "0" or Mid(Broj,i,1) >"9" then
<<prijavi gresku>>
end if
next

pozdrav

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 12:09 · pre 254 meseci #27

Ili IsNumeric(Broj) ;)

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 14:19 · pre 254 meseci #28

DA li si siguran da ce bas u svim slucajevima isNumeric vratiti ispravnu vrednost?
Hmm...ne volim bas toliko da verujem MS ovim Vb funkcijama tipa IsNumeric ,Cstr, VAl itd.

npr. isNumeric("123 ") vraca True, a da li je to zaista tacno?

Ja sam ipak pristalica "defanzivnog programiranja".

Pozdrav

_{[Ovu poruku je menjao branimir.ts dana 18.11.2005. u 15:33 GMT+1]}

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 14:40 · pre 254 meseci #29

Citat:

branimir.ts:
npr. isNumeric("123 ") vraca True, a da li je to zaista tacno?

Citat:

MSDN:

IsNumeric Function

Returns a Boolean value indicating whether an expression can be evaluated as a number.

_{[Ovu poruku je menjao mladenovicz dana 18.11.2005. u 15:41 GMT+1]}

Potpis

Blue Man Group

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 14:54 · pre 254 meseci #30

Citat:

_{Citat:

MSDN:

IsNumeric Function

Returns a Boolean value indicating whether an expression can be evaluated as a number.}

Znaci, po njima je i &h20 numeric?

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 15:24 · pre 254 meseci #31

Citat:

branimir.ts: Znaci, po njima je i &h20 numeric?

Ne, nego can be evaluated as a number.

Potpis

Blue Man Group

Re: ASP aplikacija i zastita od SQL injectiona 18.11.2005. u 15:34 · pre 254 meseci #32

Can be evaluated as ... (SQL Injection String?).

Pozdrav

_{[Ovu poruku je menjao branimir.ts dana 18.11.2005. u 16:34 GMT+1]}

Srodne teme