作者zeebra (Be Bop)
看板Soft_Job
標題Re: [好奇]寫program超強的同學
時間Sun Apr 5 19:38:48 2009
話說不算row.count真的很危險
有些很爛的asp做select時直接拿textbox的值串到sql變數裡
ex: sql="select data from table where id=" & textbox
這種東西只要在textbox裡面隨便加上"or 1>0" 整個table都可以抓出來
學校做作專題還可以 商業應用真的有很多knowhow是學校不會教的
※ 引述《twnin (掩飾)》之銘言：
: 生氣的再舉例一個
: Dim sql as string
: sql = "Select XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX~~~~~超級長"
: Dim i as Integer
: For i=0 to 5
: Dim dt as Data.DataTable = GetDataTable(sql)
: Next
: 沒錯
: 用一個迴圈跑了六次一模一樣的sql
: 然後取得table之後
: 就....不管它了....
: -----------------------------------------------------------------------
: 一個專案有一半的工程師都有做跟沒做一樣
: 不如你的薪水給我好了, 反正你的事情也都是我在做
: 你跳進來改同一支程式只會扯我後腿, 越改越爛
: 更!!!!
: 就是在說你們啦...
: 商科畢業跑去資策會上課
: 然後又一起去唸了個資管在職碩班
: 你只學了怎麼扯後腿嗎??
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.204.64.155
※ 編輯: zeebra 來自: 123.204.64.155 (04/05 19:42)
1F：推 now99:這就是經驗了阿 04/05 19:47
※ 編輯: zeebra 來自: 123.204.64.155 (04/05 20:43)
2F：推 leicheong:btw, SQL injection這東西我在學校時就有學到了... 04/05 20:59
3F：推 bobju:一般網路概論的課程會稍微講到一下. 當然不會深入探討到技術 04/05 21:28
4F：→ bobju:面. 04/05 21:28
5F：→ bobju:網路安全 04/05 21:29
6F：推 amitofo:SQL Injection 04/05 21:35
7F：推 Ageis:學校會教是會教，但學生知道之後通常也只是見林不見樹 04/05 23:52
8F：推 luciferii:這個問題不是在不算rowcount吧... 04/06 00:19
9F：→ zeebra:算rowcount是一種解法喔 很多商業應用的邏輯裡 一個id只 04/06 22:16
10F：→ zeebra:會對應1或<n筆資料 當然白名單或黑名單也可以解 04/06 22:17
11F：推 choufeng:這是網安問 你說的這種以前叫做作 隱碼攻擊 04/11 23:53
12F：推 choufeng: 題 04/11 23:54