[es] - ASP aplikacija i zastita od SQL injectiona

PavleBgd
Pavle Joksimovic
Beograd

Član broj: 25177
Poruke: 112
*.eunet.yu.

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{08.10.2005. u 10:17 - pre 225 meseci}

Upravo tako - sem ako nemate svoj Web server(proveravao sam, oko 1000 evra kosta server housing kod vecine provajdera). Do tad ostaje validacija kroz ASP skripte...

Odgovor na temu

Albus
bg

Član broj: 60922
Poruke: 43
*.vdial.verat.net.

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{10.10.2005. u 10:38 - pre 225 meseci}

Citat:

Shadowed: Provajder ti to nece dozvoliti.

To je druga tema, ali tvoja rupa otvara pristup njegovom sql serveru pa se vrlo lepo mogu videti njegovi useri, objekti u master bazi i sl.

Koliko je to reklama za provajdera ne znam....

Cinjenica je da su oni userima ogranicili prava, ali znam svoj username i svoj pass. Znam ostale username-ove. Ne moram da brute-forcujem njih, mozda su password dodelili na osnovu username-a koji, btw, posetilac sajta ne bi trebalo da vidi ni moj username.
Tu su i linkovani serveri ako ih ima ( a mogu se videti ) .....
Ja sam nabasao na 1452 baze kod jednog stranog provajdera, i nesto vise usernamova (ima ih vise jer su tu i sistemski) samo testirajuci sajt svog prijatelja koji je jedan od tih 1452.
Kazem, to sto oni ne dozvoljavaju, to je njihov problem.
Cinjenica je da mora da se startuje regsvr32....
Ajd, odgovorite, kako na svom, intranet webserveru, da uradim .dll i da ga postavim.

Pavlov kod je sasvim OK, i ono sto bi u n.pr. VB6 trebalo uradim nije nikakva mudrost, ali STA DA KUCAM U GLOBAL.ASA ?

Odgovor na temu

vujkev
Beograd

Član broj: 8072
Poruke: 1347
*.bg.wifi.vline.verat.net.

+104 Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 01:09 - pre 224 meseci}

Čitam ovo i na prvi pogled delovalo je interesantno i da može da se upotrebi, ali onda mi je palo na pamet čemu sve ovo ?? Nigde ne mogu da napišem "Select" kao parametar?Šta ako pišem na engleskom pa mi treba ta reč?

Citat:

"Please select your country"

Pročitao sam par tekstova na ovu temu i koliko sam video sve se svodi na to da se prekine izvršavanje zadate naredbe i da se ubaci svoja kao npr.

Code:

Param1 = request("param1")
db.execute "Select * from tabela1 where ime like '" & Param1 &"'"

i ako se kao param1 posalje

Citat:

bezveze' ; drop table tabela1

nastane haos (možda je glup primer, ali shvatate)

Ali ako se onaj kod malo ispravi da bude ovakav

Code:

Param1 = request("param1")
Param1 = Replace(Param1, "'", "''")
db.execute "Select * from tabela1 where ime like '" & Param1 &"'"

... koliko sam upoznat ovo bi trebalo da radi bez greške šta god da se upiše kao parametar koji se salje na stranicu

ili ako se očekuje broj

Code:

Param1 = request("param1")
if Isnumeric(Param1) = True then
db.execute "Select * from tabela1 where ID =" & Param1
end if

Da li se varam ili je ovo najbolja zaštita od SQL injectiona?

_{[Ovu poruku je menjao vujkev dana 18.11.2005. u 02:09 GMT+1]}

_{[Ovu poruku je menjao vujkev dana 18.11.2005. u 02:10 GMT+1]}

Naučio sam...
Da je važnije biti ljubazan nego biti u pravu

Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12850

+4784 Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 07:12 - pre 224 meseci}

Ne postoji najbolja zastita ali je to sto si naveo i sl. potrebno uraditi. Validacija podataka je vrlo pozeljna stvar, nezavisno od SQL injaction-a.

Nebojsa Milanovic: Što se tiče Trumpa, smatram ga vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu.
Nebojsa Milanovic: Rusija ne laže, ne vodi osvajačke ratove
Nebojsa Milanovic: Trump je svetla tačka u USA blatu.

Odgovor na temu

branimir.ts
Beograd

Član broj: 56661
Poruke: 127
*.

Sajt: www.geocities.com/brankob..

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 11:19 - pre 224 meseci}

Evo definitivno najbolje konstrukcije u VB u za validaciju numeric inputa, ujedno i zastita od SQL injecta:

for i=1 to Len(Broj)
if Mid(Broj,i,1) < "0" or Mid(Broj,i,1) >"9" then
<<prijavi gresku>>
end if
next

pozdrav

Odgovor na temu

Shadowed
Vojvodina

Član broj: 649
Poruke: 12850

+4784 Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 12:09 - pre 224 meseci}

Ili IsNumeric(Broj) ;)

Odgovor na temu

branimir.ts
Beograd

Član broj: 56661
Poruke: 127
*.

Sajt: www.geocities.com/brankob..

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 14:19 - pre 224 meseci}

DA li si siguran da ce bas u svim slucajevima isNumeric vratiti ispravnu vrednost?
Hmm...ne volim bas toliko da verujem MS ovim Vb funkcijama tipa IsNumeric ,Cstr, VAl itd.

npr. isNumeric("123 ") vraca True, a da li je to zaista tacno?

Ja sam ipak pristalica "defanzivnog programiranja".

Pozdrav

_{[Ovu poruku je menjao branimir.ts dana 18.11.2005. u 15:33 GMT+1]}

Odgovor na temu

mladenovicz
Zeljko Mladenovic
Xoran Technologies, Inc., Ann Arbor, MI,
USA / Software Engineer
Ann Arbor, MI, USA

Član broj: 6598
Poruke: 2065
*.bg.wifi.vline.verat.net.

Jabber: mladenovicz@elitesecurity.org
ICQ: 95144142
Sajt: yubc.net/~mz

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 14:40 - pre 224 meseci}

Citat:

branimir.ts:
npr. isNumeric("123 ") vraca True, a da li je to zaista tacno?

Citat:

MSDN:

IsNumeric Function

Returns a Boolean value indicating whether an expression can be evaluated as a number.

_{[Ovu poruku je menjao mladenovicz dana 18.11.2005. u 15:41 GMT+1]}

Blue Man Group

Odgovor na temu

branimir.ts
Beograd

Član broj: 56661
Poruke: 127
*.

Sajt: www.geocities.com/brankob..

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 14:54 - pre 224 meseci}

Citat:

_{Citat:

MSDN:

IsNumeric Function

Returns a Boolean value indicating whether an expression can be evaluated as a number.}

Znaci, po njima je i &h20 numeric?

Odgovor na temu

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 15:24 - pre 224 meseci}

Citat:

branimir.ts: Znaci, po njima je i &h20 numeric?

Ne, nego can be evaluated as a number.

Blue Man Group

Odgovor na temu

branimir.ts
Beograd

Član broj: 56661
Poruke: 127
*.

Sajt: www.geocities.com/brankob..

Profil

Re: ASP aplikacija i zastita od SQL injectiona

^{18.11.2005. u 15:34 - pre 224 meseci}

Can be evaluated as ... (SQL Injection String?).

Pozdrav

_{[Ovu poruku je menjao branimir.ts dana 18.11.2005. u 16:34 GMT+1]}

Odgovor na temu