SQL dotaz

[CZechBoY]

nechápu jak nemůžeš změnit tvar SQL když to nikde neošetřuješ co tam je..

[Reklama]

[ecaha]

Něco na způsob (bez záruky, neumím PHP):

Kód: Vybrat vše

$mysqli->query("CALL sp_ulozVysledky($sport, $domaci, $hoste)");

Je úplně jedno co se tam pokusí kdo dát za input, ta procedura na sql sletí, když se jí nepovede implicitní konverze na int ze stringu. (procka je zkompilovaná před tím než dostane parametry, takže ji vyvede z míry, když by měla běžet jinak)

Na SQL to vypadá nějak podobně (opět to asi není MySQL korektně)

Kód: Vybrat vše

CREATE PROCEDURE sp_ulozVysledky (@sport int, @domaci int, @hoste int)
AS
INSERT INTO vysledky VALUES (@sport, @domaci, @hoste)


A jsme u toho, použití parametrizovaných uložených procedur jako základní techniky obrany proti SQL injection. Nedá mi to - přečti si něco o sql injection a hlavně, jak se proti němu bránit. Přijde mně, že moc nevíš, která bije. Třeba takový pěkný odkaz zde: https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_Sheet

[CZechBoY]

podle mě je SQL injection prostě možnost změnit strukturu SQL dotazu - prostě je myšlen jinak než to chtěl vývojář
takže když $sport bude mít hodnotu třeba ",,,," tak funkce vyhodí chybu

[ecaha]

Ano, a tak to má být, vyhodí chybu, protože uživatel dělá něco co vývojář nezamýšlel. Pokud chybu nevyhodí, je to zatraceně špatně napsaná aplikace. Chybu chytím ošetřím a lidsky vrátím. (Nebavíme se tu o tom, že na inputboxu samozřejmě mám mít validátor a vyřeším to na klientovi bez postbacku na server, případně na serveru bez obtěžování databáze) bavíme se o tom jak vypadá aplikace odolná SQL injectionu.

Žádným způsobem nezměním však strukturu dotazu. Nedokážu za žádnou cenu přimět tu proceduru udělat něco jiného než má. Buď spadne, nebo uloží tři integery. Víc možností není. Čili nemohu splnit to co říká definice sql injection útoku - útočník dělá v db nezamýšlené věci.

[CZechBoY]

prostě u mě je změna SQL dotazu SQL injection, konec

co myslíš že udělá takový $neco="'); DROP TABLE users --"
pokud bude dotaz mít povoleno spuštění více jak jednoho příkazu tak máš po prdeli