|
сложная процедура
|
|||
---|---|---|---|
#18+
кста рабочий вариант от Cygapb-007 ,таки ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 17:41 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
CammomileCygapb-007 объясните, пожалуйста, что случится при вот таком вызове процедуры? Код: sql 1.
Где будет? У нормального архитектора будет permission denied ;-) Понятное дело, что если у обычного юзера, юзающего процедуру есть права на truncate table, то тут уже вопросы к архитектору.. ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 17:47 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
ну хорошо, напишем так (37 знаков) Код: sql 1.
... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 17:54 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
Cygapb-007ну хорошо, напишем так (37 знаков) Код: sql 1.
вот это уже ближе к истине) Я согласен))) ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 17:54 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
Да с чего вы вообще взяли что есть принципиальная овзможность вызывать такого рода процки простым пользователям? Вы же не будете вставлять защиту от инжекшена на каждый дин. эскуль с параметрами, если его запускаете только вы, ваш босс и скомпиленное клиентское приложение али джоб, а у рядового злоумышленника возможности запусить код руками в принципе нет... Или будете? ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:04 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
CammomileВы же не будете вставлять защиту от инжекшена на каждый дин. эскуль с параметрами, если его запускаете только вы, ваш босс и скомпиленное клиентское приложение али джоб, а у рядового злоумышленника возможности запусить код руками в принципе нет... Сегодня только вы, завтра только ваш босс, послезавтра прикрутили на сайт. Хреновая аргументация, чтобы не оборачивать имена объектов в quotename, и не использовать sp_executesql для передачи параметров. ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:07 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
CammomileДа с чего вы вообще взяли что есть принципиальная овзможность вызывать такого рода процки простым пользователям? Вы же не будете вставлять защиту от инжекшена на каждый дин. эскуль с параметрами, если его запускаете только вы, ваш босс и скомпиленное клиентское приложение али джоб, а у рядового злоумышленника возможности запусить код руками в принципе нет... Или будете?Холивар... Я просто к тому, что особой разницы между 'code '+@param+' code' и использованием параметров - на стадии разработки нет: Код: sql 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14.
... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:17 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
Нормальная аргументация, потому, что на сайт будут крутить имея в виду именно то, что крутится на сайте. Ниразу не видел чтобы на сайт прикручивали нутрянку, всегда делаются "интерфейсы" которые посылают на сервак "просьбы" что-то там посчтитать и вернуть. ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:17 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
CammomileНормальная аргументация, потому, что на сайт будут крутить имея в виду именно то, что крутится на сайте. Ниразу не видел чтобы на сайт прикручивали нутрянку, всегда делаются "интерфейсы" которые посылают на сервак "просьбы" что-то там посчтитать и вернуть.Любой символьный параметр, который будет передан в команду exec напрямую - хоть через 1 интерфейс, хоть через тыщу - будет приводить к injection, и все только потому, что автор сего кода когда-то посчитал, что его код никто использовать не будет. ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:19 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
сразу масса догадок и предположений появляется: 1. У юзера не будет прав 2. запускать будет только ограниченный круг лиц 3. это не прикрутят на сайт/в продакшн как показывает практика, в тех случаях когда код пишут исходя из этих допущений - всё происходит с точностью до наоборот ... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:38 |
|
сложная процедура
|
|||
---|---|---|---|
#18+
хм... а не работает мой пример... не получается имя таблицы передать через параметр как varchar, требуется @tablename TABLE... а просто exec() - без проблем... Код: sql 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. 16. 17. 18. 19. 20. 21.
... |
|||
:
Нравится:
Не нравится:
|
|||
27.06.2013, 18:39 |
|
|
start [/forum/topic.php?fid=46&gotonew=1&tid=1706392]: |
0ms |
get settings: |
11ms |
get forum list: |
12ms |
check forum access: |
3ms |
check topic access: |
3ms |
track hit: |
41ms |
get topic data: |
11ms |
get first new msg: |
8ms |
get forum data: |
3ms |
get page messages: |
53ms |
get tp. blocked users: |
2ms |
others: | 244ms |
total: | 391ms |
0 / 0 |