Comentarios en: Inyección SQL http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/ Seguridad de la Información y Auditoría de Sistemas Sun, 12 Oct 2008 23:54:53 +0000 http://wordpress.org/?v=2.6.2 By: zeta force http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-26806 zeta force Tue, 19 Dec 2006 21:44:04 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-26806 yo tengo conociminetos de abse de datos SQL se todo respecto a las consultas, subconsultas,crear base de datos y hacer restricciones,pero lo k no se es onde popner todo ese codigo ,ya lo e tratado de poner en el codigo fuente y volver al text en text.html pero no abre yo tengo conociminetos de abse de datos SQL se todo respecto a las consultas, subconsultas,crear base de datos y hacer restricciones,pero lo k no se es onde popner todo ese codigo ,ya lo e tratado de poner en el codigo fuente y volver al text en text.html pero no abre

]]> By: eruntale http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-16304 eruntale Sat, 30 Sep 2006 22:16:03 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-16304 Hola, no entendía qué era la inyección SQL y tú lo has explicado bastante bien :D gracias y saludos :) Hola, no entendía qué era la inyección SQL y tú lo has explicado bastante bien :D gracias y saludos :)

]]> By: Sergio Hernando http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-16209 Sergio Hernando Sat, 30 Sep 2006 10:28:46 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-16209 <i>Por ultimo, señalar que por regla general, la mejor solucion para prevenir esos ataques son las consultas precompiladas (aparte de ser una buena optimizacion)</i> Consultas precompiladas y crear software de una manera profesional, es decir, aplicar ingeniería del software: metrodologías completas de análisis, desarrollo y mantenimiento ;) Un saludo :) Por ultimo, señalar que por regla general, la mejor solucion para prevenir esos ataques son las consultas precompiladas (aparte de ser una buena optimizacion)

Consultas precompiladas y crear software de una manera profesional, es decir, aplicar ingeniería del software: metrodologías completas de análisis, desarrollo y mantenimiento ;)

Un saludo :)

]]> By: psykal http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15889 psykal Thu, 28 Sep 2006 19:00:44 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15889 Un comentario: los escapes en php... probablemente de las pocas cosas en las que destaca este entorno. En php a las variables enviadas se les aplica por defecto un filtro que sustituye las comillas simples por un slash-comilla, con lo cual no es tan facil hacer una inyeccion. En su momento hubo problemas con la codificacion de caracteres en unicode, pero intuyo que ese tipo de cosas se han tenido en cuenta en las ultimas versiones. Por ultimo, señalar que por regla general, la mejor solucion para prevenir esos ataques son las consultas precompiladas (aparte de ser una buena optimizacion) saludos... Un comentario: los escapes en php… probablemente de las pocas cosas en las que destaca este entorno.

En php a las variables enviadas se les aplica por defecto un filtro que sustituye las comillas simples por un slash-comilla, con lo cual no es tan facil hacer una inyeccion. En su momento hubo problemas con la codificacion de caracteres en unicode, pero intuyo que ese tipo de cosas se han tenido en cuenta en las ultimas versiones.

Por ultimo, señalar que por regla general, la mejor solucion para prevenir esos ataques son las consultas precompiladas (aparte de ser una buena optimizacion)

saludos…

]]> By: Sergio Hernando http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15885 Sergio Hernando Thu, 28 Sep 2006 18:28:59 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15885 <i>Hombre, es que más que un error del gestor de bases de datos es un error provocado por una mala programación</i> Me alegro de que lo comentes. No sabes la de gente que cree que estos problemas son ocasionados por el gestor, y no por errores de diseño que, tal y como comento, facultan que se pasen en las queries comandos maliciosos, por no haber saneado los parámetros. De momento yo diría que estoy casi casi al 100% aclimatado. Gracias ;) Échame tu móvil a mi pedazo de correo sergio UBICADO^EN sahw PUN*TITO com, y te llamo para tomar unas cañillas tan pronto sea posible ;) Saludos, PD: El que quiera dejarme su correo o teléfono en ese correo, es bienvenido, con vistas a tomar unas cañas claro (requisito, vivir en Madrid). Lo mismo nos juntamos 4 o 5, y cruzamos correos y nos vemos todos las caras. Hombre, es que más que un error del gestor de bases de datos es un error provocado por una mala programación

Me alegro de que lo comentes. No sabes la de gente que cree que estos problemas son ocasionados por el gestor, y no por errores de diseño que, tal y como comento, facultan que se pasen en las queries comandos maliciosos, por no haber saneado los parámetros.

De momento yo diría que estoy casi casi al 100% aclimatado. Gracias ;)

Échame tu móvil a mi pedazo de correo sergio UBICADO^EN sahw PUN*TITO com, y te llamo para tomar unas cañillas tan pronto sea posible ;)

Saludos,

PD: El que quiera dejarme su correo o teléfono en ese correo, es bienvenido, con vistas a tomar unas cañas claro (requisito, vivir en Madrid). Lo mismo nos juntamos 4 o 5, y cruzamos correos y nos vemos todos las caras.

]]> By: josemaria http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15883 josemaria Thu, 28 Sep 2006 18:16:45 +0000 http://www.sahw.com/wp/archivos/2006/09/28/inyeccion-sql/#comment-15883 <blockquote>y de paso comprobáis cómo todos los gestores de bases de datos están expuestos a este problema.</blockquote> Hombre, es que más que un error del gestor de bases de datos es un error provocado por una mala programación... Igualmente si desde el código se hacen las comprobaciones pertinentes antes de ejecutar la select no debería de dar problemas en ningún gestor. Ni siquiera en el de Microsoft ;-) [OT:] ¿Qué tal por los madriles?¿aclimatado?

y de paso comprobáis cómo todos los gestores de bases de datos están expuestos a este problema.

Hombre, es que más que un error del gestor de bases de datos es un error provocado por una mala programación… Igualmente si desde el código se hacen las comprobaciones pertinentes antes de ejecutar la select no debería de dar problemas en ningún gestor. Ni siquiera en el de Microsoft ;-)

[OT:] ¿Qué tal por los madriles?¿aclimatado?

]]>