PDA

View Full Version : حرفه ای: جلوگیری از sql injection با base65


abolfazl-z
یک شنبه 20 مرداد 1392, 11:50 صبح
سلام دوستان

دوستان ما اگر از base64 برای جلوگیری از نفوذ استفاده کنیم خوب هست ؟
abolfazl-z
یک شنبه 20 مرداد 1392, 13:31 عصر
کسی از دوستان نظری نداره ؟
SilverLearn
یک شنبه 20 مرداد 1392, 14:14 عصر
اینجا رو ببین بهت کمک می کنه

http://silverlearn.ir/%D8%AC%D9%84%D9%88%DA%AF%DB%8C%D8%B1%DB%8C-%D8%A7%D8%B2-injection-%D8%AF%D8%B1-php/
abolfazl-z
یک شنبه 20 مرداد 1392, 14:23 عصر
مرسی دوست من

ولی من این ها رو میدونم ولی میدونید که تابع mysql_real_escape_string در php 5.5.0 حذف شده! خوب php.net میگه از mysqli_real_escape_string استفاده کنید!
خوب اگر ما بیاییم از base64 استفاده کنیم بهتر نیست ؟
دیگر خیالمان راحت است که نفوذ جدید از sql پیدا بشه یا نشه!
colors
یک شنبه 20 مرداد 1392, 16:38 عصر
سلام دوستان

دوستان ما اگر از base64 برای جلوگیری از نفوذ استفاده کنیم خوب هست ؟

دوست عزیز چه ربطی داره×
یعنی مثلا با base64 چیکار کنید؟ رشته رو کد و ارسال و اون طرف دی کد و پردازش کنید؟ اگه اینجوریه که هیچ فرقی نمیکنه!
abolfazl-z
یک شنبه 20 مرداد 1392, 17:01 عصر
دوست عزیز چه ربطی داره×
یعنی مثلا با base64 چیکار کنید؟ رشته رو کد و ارسال و اون طرف دی کد و پردازش کنید؟ اگه اینجوریه که هیچ فرقی نمیکنه! سلام چرا میزنی :لبخند:

نه نگاه کنید کد زیر را :

ما مثلا یک فیلدی داریم که اصلا اسکیپ نمیشه و کد نفوذ را وارد می کنیم و قطعا نفوذ صورت میگیره
ولی اگر بیاییم encode اش کنیم کل مقدار اون فیلد به یک رشته سالم تبدیل میشه و هر دستوری هم باشه encode میشه التبه من فقط دستورات Sql را گفتم.

مثلا :

ID=0%20OR%201=1 => MCUyME9SJTIwMT0x
ID => MCUyME9SJTIwMT0x در این صورت دیگه هک نمیشه!
colors
یک شنبه 20 مرداد 1392, 17:07 عصر
سلام چرا میزنی :لبخند:

نه نگاه کنید کد زیر را :

ما مثلا یک فیلدی داریم که اصلا اسکیپ نمیشه و کد نفوذ را وارد می کنیم و قطعا نفوذ صورت میگیره
ولی اگر بیاییم encode اش کنیم کل مقدار اون فیلد به یک رشته سالم تبدیل میشه و هر دستوری هم باشه encode میشه التبه من فقط دستورات Sql را گفتم.

مثلا :

ID=0%20OR%201=1 => MCUyME9SJTIwMT0x
ID => MCUyME9SJTIwMT0x در این صورت دیگه *** نمیشه!

:لبخند: نه دوست عزیز ما هستیم خدمتتون.

ببین خب دوباره شما سمت سرور باید این آی دی اینکد شده رو دی کد کنید که بتونید تو کوئری ازش استفاده کنید, درسته؟ خوب حالا طرف کدهای مخربش رو اضافه میکنه و و شما دی کد و اینکد میکنین که باز همون میشه!
abolfazl-z
یک شنبه 20 مرداد 1392, 17:26 عصر
قطعا منظورم آی دی نبود[کاملا دروغ:لبخند:]
ولی نه حرف شما درسته.