3 svar · 472 visningar · startad av Batboy
Vad är det för ett finurligt litet "kommando som Expressen valt att inte publicera"?
http://www.expressen.se/article.asp?id=108908
Inte för att jag tänkt utnyttja det.. :OO .. men det vore ju intressant att veta om ens egna applikationer är vattentäta :)
/j
Läste oxå nyligen detta.
Detta är bara möjligt om man inte har någon som helst rensning av vad användaren skriver in i fälten, innan uppgifterna sänds till programmet för bearbetning.
Att det blivit så här beror nog mer på dålig utveckling, än goda kunskper hos de som vill komma in i systemen?
I boken "CGI-programmering" från Pagina, finns ett kapitel om webbsäkerhet. Den tar upp just vikten av att genomföra en rensning av vad användaren skriver in i fältet, och vad följden kan bli om man inte har denna kontroll.
Om man inte validerar indatat från klienten innan man bankar in det i sin SQL-sats ...
Viktigt i alla sammanhang där man skickar indata vidare till systemet (inte bara till en SQL-server, utan även filnamn som skall öppnas, mail som skall skickas o.s.v.).
Och lika viktigt är att vid denna filtrering bestämma sig för vilka tecken som skall tillåtas, och filtrera bort allt annat. Det omvända (att försöka filtrera bort "farliga" tecken) är extremt lätt att göra fel på. Som exempel upptäktes det säkerhetshål för en tid sedan i flera produkter, där användare kunde gå runt filtreringar genom att ange tecken unicode-kodade.
