technika whitelistu jako ochrana před SQL injection

30. 12. 2007 13:21:45

Ahoj,

sháním něco o použití techniky whitelistu jako ochranu před sql injection.

Jestli jsem to pochopil správně, tak to má být nějaký seznam povolených znaků, přes který se to prožene než to jde do db.

Bohužel se mi nedaří nic najít a to ani v angličtině. :banghead:

Mohlo byste mi někdo nabídnout nějaký odkaz, nebo alespoň ukázku kódu? Moc mi to totiž není jasný, díky

30. 12. 2007 13:21:45

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33705

---

(6 hodnocení)

30. 12. 2007 14:23:42

mozno ti pomoze toto

http://sk.php.net/mysql_real_escape_string

30. 12. 2007 14:23:42

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33704

Ji31

30. 12. 2007 14:26:12

Napsal matto;25201
mozno ti pomoze toto

http://sk.php.net/mysql_real_escape_string

Jj, to znám, používám, mně jde jen o ten whitelist..

30. 12. 2007 14:26:12

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33703

Jakub Stacho

(20 hodnocení)

30. 12. 2007 14:39:36

Pokud máš v SQL dotazech všechny proměnné důsledně v uvozovkách, tak stačí escapovat jen ty uvozovky. Útočník pak vždycky zůstane „v uvozovkách“.

30. 12. 2007 14:39:36

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33702

toshi

(4 hodnocení)

30. 12. 2007 14:44:29

a co radši začít používat prepare() a execute() v pdo, než znovu vynalézat kolo ?

30. 12. 2007 14:44:29

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33701

Ji31

30. 12. 2007 14:52:25

:banghead:

používám, znám.

Jen prostě potřebuju najít něco o TÉTO technice, je to moc složitá věta?

Děkuju všem za rady, ale já se neptám na to, jak zabránit SQL injection, ale na whitelist :smoking:

30. 12. 2007 14:52:25

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33700

toshi

(4 hodnocení)

30. 12. 2007 15:26:39

Napsal Ji31;25210
Děkuju všem za rady, ale já se neptám na to, jak zabránit SQL injection, ale na whitelist :smoking:

a whitelist != množina znaků bez delimiterů ?

30. 12. 2007 15:26:39

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33699

Ji31

30. 12. 2007 17:03:39

Napsal toshi;25219
a whitelist != množina znaků bez delimiterů ?

No to právě netuším, pravděpodobně ano. Byl jsem odkázán na whitelist a že si to mám najít. Ovšem google toho moc neříká (asi se špatně ptám)...

30. 12. 2007 17:03:39

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33698

Fuck You

(1 hodnocení)

31. 12. 2007 00:09:00

Nejdřív jsem myslel, že ti asi někdo špatně poradil. Po konzultaci s Googlem vidím (ptám se sql injection whitelist), že opravdu někteří lidé takový termín používají.

Pokud jsem správně vyrozuměl, mají whitelistingem na mysli to, že stanoví nějaká kritéria (výčet hodnot nebo regulární výraz), kterým vstup musí vyhovovat, aby byl validní. Naproti tomu při blacklistingu se stanovují kritéria, při jejichž vyhovění je vstup invalidní.

Příklad použití whitelistingu proti SQL injection:

$whitelist = array("=", ">", "<");

in_array($operator, $whitelist) or throw new Exception;

$query = $table->select()->where("`field` $operator ?", $hodnota);

Akorát by mě zaboha nenapadlo, že pro to někdo vymyslí takový cool název. :)

31. 12. 2007 00:09:00

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33697

Ji31

31. 12. 2007 00:36:20

Napsal llook;25284
Nejdřív jsem myslel, že ti asi někdo špatně poradil. Po konzultaci s Googlem vidím (ptám se sql injection whitelist), že opravdu někteří lidé takový termín používají.

Pokud jsem správně vyrozuměl, mají whitelistingem na mysli to, že stanoví nějaká kritéria (výčet hodnot nebo regulární výraz), kterým vstup musí vyhovovat, aby byl validní. Naproti tomu při blacklistingu se stanovují kritéria, při jejichž vyhovění je vstup invalidní.

Příklad použití whitelistingu proti SQL injection:

$whitelist = array("=", ">", "<");
in_array($operator, $whitelist) or throw new Exception;

$query = $table->select()->where("`field` $operator ?", $hodnota);

Akorát by mě zaboha nenapadlo, že pro to někdo vymyslí takový cool název. :)

Ó, bože děkuji, bůh se nademnou slitoval. Už je mi to jasný, díkec :thumbup:

31. 12. 2007 00:36:20

https://webtrh.cz/diskuse/technika-whitelistu-jako-ochrana-pred-sql-injection#reply33696

Pro odpověď se přihlašte.

Přihlásit