Archief - ASP: htmlspecialchars equivalent nodig of niet ?

orez zei:

op vraag 1, er bestaat een functie ja, maar wegens het niet op mijn prog pc te zitten zal ik u die vraag nog even schuldig laten.

op vraag 2... redelijk domme opmerking infeite, TUURLIJK is dit nodig... altijd ...
Als je dit niet doet kan ik perfect javascript of zelfs php code in uw site steken...

<script> wordt dan &lt;script&gt; en zo onschadelijk...
Is ter beveiliging van uw site... Als je dat niet toepast is je site 1 groot lek.

Klik om te vergroten...

joyrider zei:

ah had nog nooit van sql injection gehoord. heb wa ligge opzoeken en uitprobrere en ge kon idd foefelen met de code die dak tot nu toe had. die htmlspecial chars alleen was wel ni genoeg om die sql injection tegen te gaan.
quotes escapen en paar characters / woorden zoals ";" "select" "delete" etc replace met empty strings is wak nu ga gebruiken.

ah en ramm merci voor die functie moet ik ze zelf nimeer maken

Klik om te vergroten...

Dim thisCommand As SQLCommand = New SQLCommand("SELECT Count(*) " & _
"FROM Users WHERE UserName = @username AND Password = @password", Connection)
thisCommand.Parameters.Add ("@username", SqlDbType.VarChar).Value = username
thisCommand.Parameters.Add ("@password", SqlDbType.VarChar).Value = password
Dim thisCount As Integer = thisCommand.ExecuteScalar()

--------------

Die sql-injection is spijtiggenoeg bij veel mensen onbekend.
Ik herinner mij een microsoft meeting in de kinepolis in Brussel waar ze aan een zaal professionelen ( en wij, mct'ers ) vroegen of ze "sql injection" kenden. Die mannen vielen achterover Buiten de mct'ers waren er bitter weinig die hun hand opstaken ( onzen docent had uiteraard een keiharde grijns op z'n gezicht )

Imports System.Data
Imports MySql.Data.MySqlClient

...

Private Function _GetGroupsByMailAdress(ByVal mailAdress As String, ByVal siteID As String) As ArrayList
Dim SQL As String = "SELECT Subscriber.ID_Groep FROM Subscriber,SubscribeGroep WHERE Subscriber.MailAdress = ?MailAdress AND SubscribeGroep.ID_Groep = Subscriber.ID_Groep AND SubscribeGroep.ID_Site = ?ID_Site"

Dim dbpMailAdress As New MySqlParameter("?MailAdress", mailAdress)
Dim dbpID_Site As New MySqlParameter("?ID_Site", siteID)

Dim DT As DataTable = _mysqlBase.GetDT(SQL, dbpMailAdress, dbpID_Site)
Dim DR As DataRow
Dim arrIDs As ArrayList = New ArrayList

For Each DR In DT.Rows
arrIDs.Add(DR.Item("ID_Groep"))
Next

Return arrIDs
End Function

Klik om te vergroten...