R: SQL injection

>In pratica in vari linguaggi di programmazione esiste una funzione chiamata
>escape() che prende una stringa in input e ritorna una stringa in cui i
>caratteri con apici, doppi apici ecc vendono sostituiti con i rispettivi
>codici di escape, esempio:

E come ti dicevo prima questa operazione non è sufficiente, poiché se si
esegue l'Injection su un parametro numerico gli apici non sono richiesti,
quindi inserendo una cosa del tipo "AND WHERE nome_campo=valore_numerico" la
query sarebbe sintatticamente corretta e verrebbe eseguita. Nel caso si
sostituissero dei caratteri rischieresti, in questo caso, di far generare un
errore nel DBMS.

Ciao


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List