アカウント名:
パスワード:
null で空文字列を意味するというのは、そのまんま加工せずにパラメータとして入れ込んでしまっているのではないか？ こっちはインジェクション・アタックとか大丈夫なんかいな？
長すぎる方をよく見てみると、名前の途中にアポストロフィが入ってるし。ど初級のSQLインジェクションアタックで最初に試みるのがアポストロフィとか \ エスケープとかだから、たぶん対処はされているんだと信じるが…
物理学の'tHooft先生も、ご自身の名を冠された小惑星について、アポストロフィを削られているから、この小惑星上ではアポストロフィを禁止する、と怒っておられたなあ。
#ハイフン記号とかも名前として入力できないシステムもある。
>すぎる方をよく見てみると、名前の途中にアポストロフィが入ってるし。
「'」は、アイルランド人の姓にめちゃめちゃよく出てくるので、人名を扱うシステムでつかえないのはあり得ないと思うが。オコネル、オニール、オブライアン……
オライリー
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy
SQLインジェクションアタックの対象になりかねない (スコア:5, 参考になる)
null で空文字列を意味するというのは、そのまんま加工せずにパラメータとして入れ込んでしまっているのではないか？ こっちはインジェクション・アタックとか大丈夫なんかいな？
長すぎる方をよく見てみると、名前の途中にアポストロフィが入ってるし。ど初級のSQLインジェクションアタックで最初に試みるのがアポストロフィとか \ エスケープとかだから、たぶん対処はされているんだと信じるが…
物理学の'tHooft先生も、ご自身の名を冠された小惑星について、アポストロフィを削られているから、この小惑星上ではアポストロフィを禁止する、と怒っておられたなあ。
#ハイフン記号とかも名前として入力できないシステムもある。
Re:SQLインジェクションアタックの対象になりかねない (スコア:2)
>すぎる方をよく見てみると、名前の途中にアポストロフィが入ってるし。
「'」は、アイルランド人の姓にめちゃめちゃよく出てくるので、人名を扱うシステムでつかえないのはあり得ないと思うが。
オコネル、オニール、オブライアン……
Re:SQLインジェクションアタックの対象になりかねない (スコア:1)
オライリー