Статьи Укрощение magic_quotes_gpc

Discussion in 'Статьи' started by -=lebed=-, 14 Jan 2008.

  1. Strilo4ka

    Strilo4ka

    Joined:
    5 Apr 2009
    Messages:
    709
    Likes Received:
    728
    Reputations:
    948
    Ответ уже был в посте выше, кавычку в запросе надо закрывать, после нее пихаеться SQL код! Если были бы, например, другие масивы , а не: GET POST COOKIE - то код был бы уязвим при magic_quotes_gpc=1, точнее сами переменные инициализировлаись ис других масивов.
    GivioN, если придумаете метод как обойти "маг. кавычки" пишыте сюда. :)
     
    #21 Strilo4ka, 3 Apr 2010
    Last edited: 3 Apr 2010
  2. Scipio

    Scipio Well-Known Member

    Joined:
    2 Nov 2006
    Messages:
    733
    Likes Received:
    544
    Reputations:
    190
    Ситуация скорее на 99или сколько там% безвыходная, но не на 100% про это писалось и про это можно найти на оф. сайте php
     
    #22 Scipio, 3 Apr 2010
    Last edited: 3 Apr 2010
    1 person likes this.
  3. GivioN

    GivioN Elder - Старейшина

    Joined:
    30 Mar 2008
    Messages:
    45
    Likes Received:
    10
    Reputations:
    0
    А я то думал веб-хакинг рулит :)
    И зачем тогда фильтровать переменные?!!
    Хотя киньте пожалуйста пару ссылок почитать про эти частные случаи
     
    #23 GivioN, 3 Apr 2010
    Last edited: 3 Apr 2010
  4. Root-access

    Root-access Elder - Старейшина

    Joined:
    18 Jun 2008
    Messages:
    194
    Likes Received:
    195
    Reputations:
    91
    При использовании многобайтных кодировок типа BIG5.

    Strilo4ka: да, экранируется только GPC, невнимательно твой пост прочитал, извиняюсь.
     
    #24 Root-access, 3 Apr 2010
    Last edited: 3 Apr 2010
    2 people like this.
  5. Strilo4ka

    Strilo4ka

    Joined:
    5 Apr 2009
    Messages:
    709
    Likes Received:
    728
    Reputations:
    948
    Я имел ввиду по документации данные других масивов, не GPС, не екранируються. Если они используються в запросах, то можно експлуатировать SQL ing(ну конечно если кодер сам их не екранирует) и пофик какое значение директивы...

    Я считаю тема названия правильна! Укрощение - это имееться ввиду для кодера чтоб он не тупил(двойное екранирование никому не нужно) и если mg=off, то чтоб екранировал. Да, конечно, левые куски кода нафик нужны, но так наданый момент нужно! Кстати, тут нет а чем вести дискусию.

    Если есть обход mg именно в нужных данных, то стоило б здесь писать как правильно "укрощать".
    имхо
     
    #25 Strilo4ka, 3 Apr 2010
    Last edited: 3 Apr 2010
  6. max_pain89

    max_pain89 Eat `em UP!

    Joined:
    11 Dec 2004
    Messages:
    451
    Likes Received:
    140
    Reputations:
    146
    Какой addslashes блин? Реальные перцы уже на mysql_real_escape_string перешли.
     
    #26 max_pain89, 3 Apr 2010
    Last edited: 3 Apr 2010
    2 people like this.
  7. GivioN

    GivioN Elder - Старейшина

    Joined:
    30 Mar 2008
    Messages:
    45
    Likes Received:
    10
    Reputations:
    0
    
Экранирование слешем уязвимо? Что ты хочешь этим сказать?
     
  8. Strilo4ka

    Strilo4ka

    Joined:
    5 Apr 2009
    Messages:
    709
    Likes Received:
    728
    Reputations:
    948
    Ага, она корректно работает с многобайтными кодировками, только применять можна после установки соедниения, в противном случае возникнет ошибка уровня E_WARNING!
     
    #28 Strilo4ka, 3 Apr 2010
    Last edited: 3 Apr 2010
  9. GivioN

    GivioN Elder - Старейшина

    Joined:
    30 Mar 2008
    Messages:
    45
    Likes Received:
    10
    Reputations:
    0
    То есть, если ковычка будет в многобайтной кодировке, то magic_quotes_gpc=1 и addslashes её не смогут экранировать?
     
    #29 GivioN, 4 Apr 2010
    Last edited: 4 Apr 2010
  10. Strilo4ka

    Strilo4ka

    Joined:
    5 Apr 2009
    Messages:
    709
    Likes Received:
    728
    Reputations:
    948
    Иногда можна обойти, если 2-ой запрос использует даные с первого, и т.д!

    "2nd order Injection"
    _http://oxod.ru/?p=97
     
    #30 Strilo4ka, 11 Apr 2010
    Last edited: 11 Apr 2010
  11. Twoster

    Twoster Members of Antichat

    Joined:
    20 Aug 2008
    Messages:
    290
    Likes Received:
    405
    Reputations:
    159
    это как бы не новость, и ничего удивительного я не увидел, естественно что нужно фильтровать ВСЕ запросы в базу, не важно от кого они посылаются, от клиента/базы/скрипта...
     
    2 people like this.
  12. Strilo4ka

    Strilo4ka

    Joined:
    5 Apr 2009
    Messages:
    709
    Likes Received:
    728
    Reputations:
    948
    Я знаю что не новость, я написал для тех кто не знает!
    (для меня лично тоже не новость)
    Думаю GivioN не знал, и другие...
     
Loading...
Similar Threads - Укрощение magic_quotes_gpc
  1. VERte][

    Авторские статьи Укрощение ctrl+alt+del

    Replies:
    11
    Views:
    8,599
  2. ShadOS
    Replies:
    9
    Views:
    5,867