SQL Injection opracowane przez człowieka z kanału Computerphile

Jak zwykle u nich - rzeczowo ale i z humorem.

[Seraf]

Mój ulubiony SQLInjection - przyjemne z pożytecznym

[Nieinterere]

Jeżeli chodzi o SQL Injection to polecałbym filmiki z uw-team, których autorem jest Unknow

SQL Injection: http://www.uw-team.org/videoarty.html

Wszystkie(większość) ataki i niebezpieczeństwa na strony WWW http://www.uw-team.org/videoarty_security.html

[slawek22]

Średnik domyślnie nie działa gdzieś od 10 lat ;) mysqlescapestring... czasy PHP4, od 4-5 lat jest deprecated.

Dobra definicja SQL-injection... coś co nie powinno dziś działać, i faktycznie ten atak przy użyciu średnika nie działa już pewnie z dekadę.

[plushy]

@slawek22: Nie powinno ale jednak czasem działa :)

[dawidg]

przekazywanie zapytania do bazy danych w formie kodu sql w zasadzie niczym nie różni się od stosowania eval. zazwyczaj to zły pomysł...

[k.....d]

DBCommand.Parameters.Add... :P, kto jeszcze dodaje wartosci w komendach SQL bezposrednio w stringach?

[LostHighway]

Czasy SQL Injection już chyba minęły... Jeśli działa to na jakichś starych stronach...

[jarzyn123]

@LostHighway: Oj, zdziwiłbyś się, jak niektórzy piszą "stronki" w "pehapku"

[LostHighway]

@Scharnvirk: Tu się zgodzę, nie wszystko da się wykonać w ORMie, szczególnie fikuśne zapytania... Ale większość takich zapytań nie musi korzystać z danych od użytkownika. A jeśli już to najpierw robię zapytanie weryfikacyjne (czy np dane istnieją w bazie) a dopiero właściwe... Sporo jest dobrych metod zabezpieczenia, np: nigdzie po stronie klienta nie używamy żadnych ID z bazy... Ew posługujemy się danymi zastępczymi (slug). Czy tworzymy serwis w taki sposób, by