powered by simpleCommunicator - 2.0.61     © 2026 Programmizd 02
Целевая тема:
Создать новую тему:
Автор:
Закрыть
Цитировать
Форумы / MySQL [игнор отключен] [закрыт для гостей] / "используй хранимки - и про инъекции забудешь" - так ли это?
22 сообщений из 22, страница 1 из 1
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198666
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
kormot,
используй хранимки - и про инъекции забудешь.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198670
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяkormot,
используй хранимки - и про инъекции забудешь.Это миф. Хранимки никак не влияют на возможность инъекции, ни положительно, ни отрицательно.

Вот параметризованные запросы - да, помогают.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198673
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
miksoftвадяkormot,
используй хранимки - и про инъекции забудешь.Это миф. Хранимки никак не влияют на возможность инъекции, ни положительно, ни отрицательно.

Вот параметризованные запросы - да, помогают.
это не миф - я проверил
попытка инъекции вызывает ошибку
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198675
miksoft
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяmiksoftпропущено...
Это миф. Хранимки никак не влияют на возможность инъекции, ни положительно, ни отрицательно.

Вот параметризованные запросы - да, помогают.
это не миф - я проверил
попытка инъекции вызывает ошибкуЗначит та же самая ошибка может быть воспроизведена и без хранимки.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198678
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
miksoftвадяпропущено...

это не миф - я проверил
попытка инъекции вызывает ошибкуЗначит та же самая ошибка может быть воспроизведена и без хранимки.
ты проверь, прежде чем утверждать
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198680
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
miksoft,

и эта тема уже поднималась. и было доказано, что хранимки спасают от инъекций
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39198684
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
miksoft,
дажже с использованием PREPARE.
идет выполнение до ;
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199215
tanglir
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяmiksoft,

и эта тема уже поднималась. и было доказано, что хранимки спасают от инъекцийНу давай тогда ссылку, посмотрим, кому они помогают и как.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199222
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
tanglir,
проще самому проверить, чем искать.
я проверил, для меня этого достаточно.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199252
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
tanglir,
нашёл 15720221
а недавно проверил и для PREPARE
не удалось вставить инъекцию, как ни старался .....
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199318
tanglir
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
15749006 Не знаю, как оно у тебя ничего не выводит...
Код: sql
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
USE `test`;
CREATE TABLE `ololo` (
	`id` INT(11) NOT NULL,
	PRIMARY KEY (`id`)
)
COLLATE='utf8_general_ci'
ENGINE=InnoDB
;
CREATE TABLE `trololo` (
	`id` INT(11) NOT NULL,
	PRIMARY KEY (`id`)
)
COLLATE='utf8_general_ci'
ENGINE=InnoDB
;
INSERT INTO `test`.`ololo` (`id`) VALUES (1);
INSERT INTO `test`.`trololo` (`id`) VALUES (0),(1),(2),(3),(4),(5),(6),(7),(8),(9);
delimiter //
CREATE DEFINER=`root`@`%` PROCEDURE `sp_ololo`(IN `Param1` VARCHAR(255))
	LANGUAGE SQL
	NOT DETERMINISTIC
	READS SQL DATA
	SQL SECURITY DEFINER
	COMMENT ''
BEGIN
declare str varchar(255);
set @str = concat("select * from ololo where id=",Param1);
prepare stmt from @str;
execute stmt;
deallocate prepare stmt;
END//
delimiter ;
call sp_ololo('1'); -- моментально
call sp_ololo('(
select q1.id
from trololo q1
cross join trololo q2
cross join trololo q3
cross join trololo q4
cross join trololo q5
cross join trololo q6
order by rand()
limit 1
)') -- занимает несколько сеунд
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199321
tanglir
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Удаление, конечно не сработает - prepare принимает только один запрос. А вот ддос - вполне себе вариант.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199363
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
tanglirУдаление, конечно не сработает - prepare принимает только один запрос. А вот ддос - вполне себе вариант.
а засунуть такое в параметризированный запрос ?
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199405
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
tanglir,
вариант интересный, но "не опасный"
он только загрузит сервер, если знать структуру базы, но просто не вернёт никаких данных..
да и если where id=, а параметр строка - то как бы и поделом за такое.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199484
tanglir
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяда и если where id=, а параметр строка - то как бы и поделом за такое.ну как бы о том и речь, в исходной теме ТС как раз собирал запрос по кусочкам.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199492
Фотография Akina
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяон только загрузит сервер, если знать структуру базы
Ну загрузить он сервер может так, что тот ляжет.
Да и не нужна структура базы, ибо вместо абстрактной trololo можно пообщаться, например, с объектами из INFORMATION_SCHEMA...
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199544
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
Akina,
ну какие-то правила безопасности надо собюдать....
но ведь и входные параметры хранимки и есть соответствие параметрам в парамер....м запросе.
так что и его можно таким образом использовав завесить сервер
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199798
Фотография javajdbc
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяно ведь и входные параметры хранимки и есть соответствие параметрам в парамер....м запросе


...нет, в обшем случае фраза неверная....
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39199949
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
javajdbcвадяно ведь и входные параметры хранимки и есть соответствие параметрам в парамер....м запросе


...нет, в обшем случае фраза неверная....
обоснуй
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39200114
Фотография MasterZiv
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяkormot,
используй хранимки - и про инъекции забудешь.

это почти так.
чтобы было так на 100% нужно выполнить еще два условия:
- не использовать языковые запросы при вызове процедуры, т. е. выполнять процедуры всегда через средства CLI API клиента в виде "процедура"( параметр =значение,...)
- не использовать в процедурах exec динамически формируемого текста запроса.

при этом соблюдается одно простое и необходимое правило - данные никогда не интерпретируются как код на SQL.
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39200121
вадя
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
MasterZiv,
как показал пример tanglir
даже динамичеие запросы в хранимках могут только затормозить сервер, и то если не грамотно задавать параметры
...
Рейтинг: 0 / 0
"используй хранимки - и про инъекции забудешь" - так ли это?
    #39200169
Фотография javajdbc
Скрыть профиль Поместить в игнор-лист Сообщения автора в теме
Участник
вадяjavajdbcпропущено...



...нет, в обшем случае фраза неверная....
обоснуй


...хранимая процедура ничем принципиально не отличается от
програмного блока на любом другом языке.
Вы можете накосячить в ней не меньше чем на джаве или
на ПХП. Немного попрограмируете -- поймете сами...
...
Рейтинг: 0 / 0
22 сообщений из 22, страница 1 из 1
Форумы / MySQL [игнор отключен] [закрыт для гостей] / "используй хранимки - и про инъекции забудешь" - так ли это?
Найденые пользователи ...
Разблокировать пользователей ...
Читали форум (0):
Пользователи онлайн (0):
x
x
Закрыть


Просмотр
0 / 0
Close
Debug Console [Select Text]