Исходное сообщение
"Уязвимости в mod-auth-mysql и GStreamer" Отправлено geekkoo, 27-Янв-09 00:11
>>Всё правильно - только количество приложений, где пользователь соединяется с SQL-сервером под своим именем, составляет несколько процентов от тех, где SQL используется просто в качестве движка для хранения данных приложения (в сущности к серверу подключается всего один пользователь, но при этом с очень широкими полномочиями). А такая ситуация как раз и провоцирует injection. > >предложите модель реализации, к примеру, форума, где данная проблема будет решена. > Откуда мне знать :( Просто поражает сама абсурдность ситуации - вначале пользователю в руки выдается полноценный шелл (а SQL - это уже полноценный язык), а потом, когда этот пользователь начинает крушить сервер в мелкую щебенку, начинаются крики - что ж мы наделали и начинаются попытки по-максимуму изолировать пользователя от этого шелла. Зачем тогда было давать? > >>Так что приходится делать многоступенчатый парсинг - в начале идет проверка ввода, потом мучительно набиваются тексты запросов, потом сервер парсит этот запрос, выдает ответ, а потом этот ответ ещё и приводится к необходимому типу ... Ну, и нафига это всё? > >что-то другое можете предложить? нанять десять китайцев что-бы они хтмл-ки строгали? Все тоже самое, только без SQL-я. Недавно же была новость - https://www.opennet.ru/openforum/vsluhforumID3/48432.html , только никто на неё внимание не обратил ...