Re: R: SQL injection

Damiano Bolzoni wrote:
> Se per "escape" intendi sostituire " ' " con " '' " non è una soluzione
> sufficiente...
> Pensa per esempio ad una query "SELECT nome_campo FROM nome_tabella WHERE
> id=parametro_numerico;": in questo caso il parametro non conterrebbe apici,
> ma si potrebbe cmq eseguire la SQL Injection (es. "0 UNION SELECT ...").

	In quel caso specifico puoi benissimo fare un casting della variabile.

Salut,
Astharot
--
http://www.zone-h.{org,it}
Contacts: astharot @ zone-h.{org,it} - gerardo @ linux.it
GPGKey http://astharot.gife.org



________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List