Исходное сообщение
"GreenSQL - межсетевой экран для защиты MySQL" Отправлено Dvorkin, 27-Авг-08 15:02
>Я пока не достиг достаточного уровня просветления в таких вещах, как sql-injection, >но насколько я понимаю, если есть конструкция вида "условие1 and параметр1 >= x", где х вводится пользователем, то можно вместо "x" вставить >" x or 1=1", а конструкция "условие1 and параметр1 = x >or 1=1" всегда равна true... Я конечно понимаю, что много таким >образом не вытащишь, да и проверок можно навставлять. А вот необходимость >для реальных запросов конструкции 1=1 мне как раз кажется сомнительной... w = "select .. from ... where "; for ( i = 0; i < 10; i++) { if ( i != 0) w .= " AND "; w .= " field${i}=$i"; } а теперь представьте, что в некоем макроязыке нет циклов

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>Я пока не достиг достаточного уровня просветления в таких вещах, как sql-injection, >>но насколько я понимаю, если есть конструкция вида "условие1 and параметр1 >>= x", где х вводится пользователем, то можно вместо "x" вставить >>" x or 1=1", а конструкция "условие1 and параметр1 = x >>or 1=1" всегда равна true... Я конечно понимаю, что много таким >>образом не вытащишь, да и проверок можно навставлять. А вот необходимость >>для реальных запросов конструкции 1=1 мне как раз кажется сомнительной... > w = "select .. from ... where "; > for ( i = 0; i < 10; i++) { > if ( i != 0) w .= " AND "; > w .= " field${i}=$i"; > } > а теперь представьте, что в некоем макроязыке нет циклов
	Введите код, изображенный на картинке: