Внимание! Это фишинговый сайт, не вводите в нем свои личные данные!

один из этих... 6 лет назад

Когда пользователя заводите, нужно правильно анкету заполнять. Что то типа

Фамилия DROP members --

имя "select * from master.dbo.syslogins"

отчество "SELECT username FROM all_users"

Год рождения -1;

Пол null

Адрес %%%"""'"'";%!"%1

А потом звонить в техподдержку.

К вам приедет разработчик приложения лично и сожгет вас к херам на лестничной площадке.

раскрыть ветку (37)

6 лет назад

Ты из 2004 года пишешь, что ли?

раскрыть ветку (20)

один из этих... 6 лет назад

2001, понятное дело. Но большая часть самописного кустарного софта до сих пор пишется так же. Куда не заглянешь - либо MSSQL2008, либо мускул.

Народ все устраивает.

раскрыть ветку (18)

6 лет назад

Как "так же"?

Подавляющее большинство фреймворков предоставляет абстракции для работы с БД, от инъекций уже закрыто.

И что плохого в MySQL?

раскрыть ветку (14)

один из этих... 6 лет назад

Я не сварщик - маску на улице нашел. Обычный аникейщик.

На сколько я мельком читал - использование MVC-модели не гарантирует защиты от SQL инъекций. Ну, то есть если сам программист об этом не позаботится.

В том же Laravel постоянно дырки затыкают, а учитывая, что большая часть мелких сайтов маленьких фирм написаны 20 лет назад на JQuery+PHP или пиратском битриксе - найти применение дурному делу совсем не трудно.

В mysql ничего плохого. просто как любая распространенная вещь - постоянно находится под давлением случайных энтузиастов.

раскрыть ветку (13)

6 лет назад

Чет у вас совсем в голове каша. Причем тут MVC модель и SQL инъекции? Ты можешь писать в MVC стиле и без всяких там фреймворков или ORM.

Большинство сайтов делаются не на фреймворках, а на CMS, там да, уязвимости это проблема. Особенно если поставили 5 лет назад и забыли.

И базу данных тут еще припрели. Назовите базу данных, где программист не может выстрелить себе в ногу?

раскрыть ветку (7)

Chuck1Norris

6 лет назад

Ребят, выжпрогаммисты. Где безопаснее скачать KMS lite? пол года назад скаченный фаерволл блочит.

6 лет назад

https://myfreeproject.com/soft/81-kmsauto-net-2016.html

Лично я этим пользуюсь.
Файл: W10DigitalActivation.zip Размер: 1.2 Mb

Да, антивирус на него орёт, но он активирует нормально.

MsSmileGood789

6 лет назад

Спасибо

один из этих... 6 лет назад

Я, собственно и говорил, что не особо в этом разбираюсь. До сих пор у меня нет четкого понимания, что такое фреймверк. Вот turbovision под msdos - это фреймверк? А .net или forms? Расскажите мне в двух словах, я стану образванней :)

Пока что ты видишь реальное представление человека, далёкого от программизма о том, как эта веб-хрень работает.

Ну и вообще, мое впечатление, что последние 20 лет веб-программирование повернули куда-то не туда...

раскрыть ветку (3)

6 лет назад

За последние 20 лет очень все гораздо лучше стало. Очень лучше.

Фреймворк это не язык программирования. Это набор библиотек, который позволяет значительно ускорить написание приложений. Вместо того чтобы каждый раз изобретать велосипеды, просто берем то что нужно из фреймворка.

И откуда у вас такое впечатление, если вы не в этой теме?)

один из этих... 6 лет назад

Просто я раньше понимал, хоть чуть-чуть - а теперь вообще нифига не понимаю!

Если раньше вывод строки текста занимал 8 байт кода, не считая самой строки, то теперь, чтобы передать hello, world! пользователю из переменной - надо на пупу сплясать. То есть я понимаю, что это мир такой, а я отослал - но всеравно, меня не оставляет ощущение, что для решения очень простых задач стали часто использовать слишком сложные методы.

Раньше база бухгалтерская занимала 20 мегабайт вместе с индексами - а теперь пустая база с логом уже столько занимает.

Задача взять строку из базы на сервере и показать ее пользователю - в оффлайн 5 строк неряшливого кода от студента-гуманитария - а в онлайне - 100-500 файлов библиотек и работа специалиста.

6 лет назад

Сейчас так же можно написать hello world в одну строку. Но если тебе надо гораздо больше, с фрейморками тебе нужно будет писать наоборот, гораздо меньше.

Простой пример. Если в программе тебе надо прочитать jpg файл, ты же не будет каждый раз писать это с нуля. Ты возьмёшь библиотеку, которая просто читает jpg.

Фреймворки это грубо говоря наборы бибилотек, которые очень помогают решать задачи.

И вот эти 5 строк кода от неряшливого студента могут содержать как раз таки sql injection, а вот с использованием современных библиотек тоже самое, но безопаснее.

И да, сложность ПО за эти 20 лет значительно выросла. Так же выросла скорость разработки, кстати.

6 лет назад

В том же Laravel львиная часть запросов собирается через Eloquent, который всё экранирует, а меньшая часть через QueryBuilder, который тоже экранирует.

Если кто-то херачит rawsql - то для них в Ларавеле тоже предусмотрены варианты. А если прям сам через pdo, то сам, конечно, пусть и заботится.

MySQL уже несколько лет как купил Oracle, так что он точно не находится под давлением.

раскрыть ветку (4)

https://stackoverflow.com/questions/41539095/does-eloquent-o...

один из этих... 6 лет назад

Ну - это далеко за пределами моей компетенции. Я картриджи заправляю и мышкам хвосты развязываю. Но вроде как вот старый пост -

который показывает как пример, что никто не может лишить программиста священного права выстрелить себе в ногу.

раскрыть ветку (3)

6 лет назад

Там такой способ приведён, который не пройдёт ни одно код-ревью, в примере прямо целенаправленный выстрел в ногу)

Calc

6 лет назад

знаю много организаций где нет кодревью :)

один из этих... 6 лет назад

Знаю много организаций, где вообще один разработчик, он же дизайнер, он же сисадмин, он же аникей. И ничего, живут :) в конце концов, 300$ сами себя не заработают, а

неквалифицированным программистами тоже надо чего-то кушать. ;)

pavelandreevich

6 лет назад

В Московском ДИТе Oracle, или на край pl sql. И никакой прямой работы с sql.

один из этих... 6 лет назад

Прямой работы может и не быть. Но если есть запись в базу - значит может быть и уязвимость. Друге дело, что фреймверк фильтрует данные от служебных символов. Винде вон уже 30 лет - а дыры есть :)

6 лет назад

Фрейморк не фильтрует данные от служебных символов. Зачем их вообще нужно фильтровать? Надо мне ковычку сохранить в базу данных и что?

И 20 лет назад можно было писать безопасный код без всяких фреймворков, нужно было только почитать документацию к библиотеке работы с базой данных, а не книжку php для чайников.

vacilek

6 лет назад

Ты даже не представляешь, на скольких сайтах и сервисах подобные фокусы до сих пор работают

Zmiillo

6 лет назад

[тщательно меняет все таблицы all_users на all_users1]

один из этих... 6 лет назад

amxs

6 лет назад

; перед select

4Skyfires

6 лет назад

и ; -- после)

VasyaDirokol

6 лет назад

А что случится? Объясните тупому плиз)

раскрыть ветку (4)

FloeHetling

6 лет назад

Вкратце:

1) Если разраб дебил то он передает данные с формы обработчику базы данных "как есть"

2) Если написать вместо данных команды особым образом, есть вероятность (см пункт 1) что обработчик БД их исполнит

3) Команды могут накрыть базу или изменить пароль у админа базы или сделать что угодно с данными в базе. А так как программы на сервере тоже берут настройки из этой же базы (особенно если пункт 1) - можно нагнуть раком небольшой сервис. Или крупную индусскую компанию.

Например на запрос официантки "Что вам принести" можно ответить "Латте с ореховым сиропом". Это простой ввод данных. А то, что выше, это как если бы ты такой "Латте UNION Ваш номерок AND Вы сегодня свободны"

Если официантку воспитывал пункт 1 - У вас сегодня вечером свидание. А нахера оно вам - уже вопрос к службе поддержки.

VasyaDirokol

6 лет назад

Спасибо Вам большое)

FloeHetling

6 лет назад

Пожалуйста!

Сразу замечу, я далеко не спец. Я изложил только факты которые знаю сам так, как я их понял.

Если интересен сам вектор атаки - советую ознакомиться со статьей на хабре.
https://habr.com/ru/post/148151/

DELETED

6 лет назад

Это команды для взлома базы данных.

semenD

6 лет назад

Думаешь в 2020 sql- инъекции ещё канают?

раскрыть ветку (4)

timuijn

6 лет назад

А что в этом плане изменилось?

semenD

6 лет назад

Во многих ЯП уже давно есть встроенные средства против sql-инъекций.

один из этих... 6 лет назад

Ну - для фреймверков изменения, устраняющие уязвимости появляются - значит, кто-то их все-таки находит. Может, не такие дурацкие - но как принцип...