[KacperSzurek]

Każde pole w tabeli MySQL ma określony typ.
Dla varchar możemy zdefiniować maksymalną długość przechowywanego tekstu.
Ale co w przypadku, gdy użytkownik prześle dłuższy ciąg? #od0dopentestera

W przypadku konstrukcji INSERT dane zostaną automatycznie przycięte do maksymalnej długości danego pola.
To nic odkrywczego, ale mało kto wie, że standardowo baza ignoruje spacje na końcu wyrazu:

SELECT * FROM users WHERE login = "admin "

Dostaniemy takie same wyniki jak dla zapytania bez białych znaków na końcu.
Te dwie ciekawostki połączone razem mogą doprowadzić do błędu SQL Truncation.
Chociażby podczas logowania użytkowników.

Załóżmy, że maksymalna długość pola login to 10 znaków.
Podczas tworzenia nowego użytkownika najpierw sprawdzamy, czy osoba o takich danych już nie istnieje w bazie.
Jeżeli nie - tworzymy nowy rekord.

Nie możemy użyć wartości admin ze spacjami, ponieważ są one ignorowane w konstrukcji SELECT.
A taki użytkownik już istnieje. A co gdyby spróbować dłuższy rekord?
Taki, którego pierwsze 10 znaków kończy się spacjami a reszta to nieistotne dane?
Chociażby **admindalszy_ciąg**?
Wspomniany wyżej SELECT nie zwróci żadnego rekordu dla takiego loginu.
Podczas dodawania wpisu natomiast zostanie on przycięty do 10 znaków.

Tym samym pojawią się dwa rekordy admin - jeden z białymi znakami drugi bez.
Jeżeli teraz aplikacja sprawdza uprawnienia użytkowników na podstawie loginu - istnieje spora szansa, że również ignoruje spacje.
Możemy zatem zalogować się jako administrator używając swojego hasła.

Jak można rozwiązać ten problem?
Używać indeksu UNIQUE, który zapewnia brak duplikatów.

Interesujesz się bezpieczeństwem? Posłuchaj podcastu na Google i Apple Podcasts oraz Spotify i Anchor.
Subskrybuj kanał na YouTube
Masz pytanie na temat security? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany do podobnych wpisów na Mirko dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security

[KacperSzurek]

Wołam zainteresowanych (115) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak

[KacperSzurek]

[KacperSzurek]

[m.....2]

To nic odkrywczego, ale mało kto wie, że standardowo baza ignoruje spacje na końcu wyrazu:

@KacperSzurek: W Oracle SQL tak nie jest.

SELECT * FROM users WHERE login = 'admin ';

nie zwróci wyników.

[LegoCiemnyLas]

@KacperSzurek: @morti92: w MSSQL równie tak nie jest,
SELECT * FROM users WHERE login = 'admin ';

nie zwróci wyników

[d.....e]

@morti92: bo porównujesz bazę danych do mysqla XD

tego nie znałem ale jakoś mnie nie dziwi

[m.....2]

@LegoCiemnyLas: Więc to MySQL jest dziwnym wyjątkiem, autoignorowanie spacji to wg mnie duża głupota w zastosowaniu baz danych.

@diogene a MySQL to co?

[scriptkitty]

a MySQL to co?

@morti92: MySQL to wyrób bazodanopodobny

[dybligliniaczek]

@KacperSzurek: https://bugs.mysql.com/bug.php?id=64772

This is NOT a bug but intended and properly documented behavior.

[Noct]

@KacperSzurek: przecież to problem z czasów forum by przemo, na gg się o tym gadało

[plushy]

@LegoCiemnyLas http://sqlfiddle.com/#!18/76a4e/1

[plushy]

@morti92 Oracle ignoruje dla char tylko:
http://sqlfiddle.com/#!4/34765/1

[m.....2]

@plushy kto używa char skoro jest varchar2..?

[d.....e]

a MySQL to co?

@morti92: bieda i proteza a nie baza danych. Teraz to i tak luksus jak innodb działa, przy myisam który nie miał transakcji i fkeys XDDDDDDDDD

tak naprawdę zdobył popularność tylko dlatego że wielu początkujących zaczynało od php (lol), mysql (lol) i apache. "LAMP" stał się prostym i popularnym systemem którego problemy zbieramy do dziś.

Ah i ta jakość kodu, parę lat temu był błąd dzięki któremu

[m.....2]

@diogene: To jak bieda przyciśnie już lepiej Postgre a nie jakieś wynalazki.

[kubor_]

@diogene: to swoją drogą, jakiej bazy byś użył do php? w sensie zamiast MySQL'a

[noelo_cohelo]

@KacperSzurek dlaczego nie ma walidacji na długość loginu?

[d.....e]

@kubor_: postgres jak kolega wyżej mówi.

jeszcze php zastąp pythonem, ruby lub go i będzie git

[majkkali]

a MySQL to co?

@morti92: MySQL (wymawiany "majsikul", a nie jak niektórzy myślą "majeskjuel") to wolnodostępny system zarządzania relacyjnymi bazami danych.