Форумы на Хакер

Добро пожаловать! Это — архивная версия форумов на «Хакер.Ru». Она работает в режиме read-only.

SQL инъекция %s и реальный путь к серверу %s

Пользователи, просматривающие топик: none

Зашли как: Guest

Все форумы >> [Веб-программинг] >> SQL инъекция %s и реальный путь к серверу %s

Имя

Сообщение

<< Старые топики Новые топики >>

SQL инъекция %s и реальный путь к серверу %s - 2011-02-10 20:28:10.550000

Fliridicter

Сообщений: 34
Оценки: 0
Присоединился: 2011-01-04 12:28:36.730000

XSpider нашёл на моём сайте уязвимости:
SQL инъекция %s
реальный путь к серверу %s

Запрос для выполнения SQL инъекции:
http://microsof-b**c**/page.php?id=1'

Результат работы:
<…>
/404.html
Connection: close
Content-Type: text/html; charset=UTF-8
 
Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in C:\Serv\www\page.php on line 10 
<html>
<head>
<…>

Возможно получение реального пути к веб-серверу с помощью запроса:
http://microsof-b**c**/page.php?id=1'

В начале я всегда проверяю переменную, передающуюся методом GET через регулярное выражение (разрешены только цифры)
Если присутствуют недопустимые символы, делаю редирект на 404.html , также в ходе работы скриптов выполняю проверку переменных mysql_real_escape_string().
Найденные уязвимости действительно представляет большую угрозу?

Post #: 1

RE: SQL инъекция %s и реальный путь к серверу %s - 2011-02-10 21:14:01.716666

Agent Smith

Сообщений: 976
Оценки: 0
Присоединился: 2007-04-10 21:56:49.593333

нужно писать intval($_GET['id']). В случае, если в id будут какие-то символы, функция вернет ноль.

Post #: 2

RE: SQL инъекция %s и реальный путь к серверу %s - 2011-02-10 21:38:24.413333

Fliridicter

Сообщений: 34
Оценки: 0
Присоединился: 2011-01-04 12:28:36.730000

Есть такое дело..

Post #: 3

Страниц: [1]

Все форумы >> [Веб-программинг] >> SQL инъекция %s и реальный путь к серверу %s

Связаться:
Вопросы по сайту / xakep@glc.ru

Предупреждение: использование полученных знаний в противозаконных целях преследуется по закону.