Administrateurs de bases de données sql-injection

6

Les procédures stockées empêchent-elles l'injection SQL?

Est-il vrai que les procédures stockées empêchent les attaques par injection SQL contre les bases de données PostgreSQL? J'ai fait quelques recherches et découvert que SQL Server, Oracle et MySQL ne sont pas sûrs contre l'injection SQL, même si nous n'utilisons que des procédures stockées. Cependant, ce problème n'existe pas …

83 postgresql security sql-injection

1

Injection SQL dans les fonctions Postgres vs requêtes préparées

Dans Postgres, les requêtes préparées et les fonctions définies par l'utilisateur sont-elles équivalentes en tant que mécanisme de protection contre l'injection SQL ? Y a-t-il des avantages particuliers dans une approche par rapport à l'autre?

30 postgresql plpgsql prepared-statement sql-injection functions

2

Pourquoi l'injection SQL ne se produit-elle pas sur cette requête dans une procédure stockée?

J'ai effectué la procédure stockée suivante: ALTER PROCEDURE usp_actorBirthdays (@nameString nvarchar(100), @actorgender nvarchar(100)) AS SELECT ActorDOB, ActorName FROM tblActor WHERE ActorName LIKE '%' + @nameString + '%' AND ActorGender = @actorgender Maintenant, j'ai essayé de faire quelque chose comme ça. Je me trompe peut-être, mais je veux être sûr qu'une …

18 sql-server sql-server-2008 dynamic-sql sql-injection

2

Comment puis-je insérer des visages souriants dans MySQL (😊)

Je suis sur MySQL 5.5.21, et j'essaye d'insérer le caractère de visage souriant '\ xF0 \ x9F \ x98 \ x8A'. Mais pour la vie de moi, je ne peux pas comprendre comment le faire. Selon divers forums que j'ai lus, c'est possible. Mais chaque fois que je l'essaye, les …

18 mysql character-set sql-injection

4

Pourquoi voulez-vous éviter Dynamic SQL dans la procédure stockée?

J'ai entendu quelqu'un dire que vous ne vouliez pas utiliser Dynamic SQL. Pouvez-vous donner un exemple concret ou un exemple concret? Personnellement, je le code plusieurs fois dans ma base de données. Je pense que c'est OK parce que c'est la flexibilité. Ma conjecture concerne l'injection SQL ou les performances. …

13 sql-server performance stored-procedures dynamic-sql sql-injection

3

Existe-t-il un moyen de sortir de la chaîne et d'injecter SQL sans utiliser un seul guillemet dans Oracle?

Je teste une application basée sur Oracle et j'ai trouvé le code suivant: Requête = "CHOISIR le nom parmi les employés OERE id = '" + PKID + "';" c'est-à-dire que la chaîne de requête contient des guillemets autour de la valeur PKID qui est obtenue directement à partir de …

12 oracle sql-injection

1

Quelle fonction cite un identificateur dans dynamic-sql avec SQL Server?

Quelle est la méthode SQL Server de citation sûre des identificateurs pour la génération dynamique de SQL. MySQL a quote_identifier PostgreSQL a quote_ident Comment garantir un nom de colonne généré dynamiquement pour une instruction générée dynamiquement que la colonne elle-même n'est pas une attaque par injection SQL. Disons que j'ai …

11 sql-server security sql-injection

1

Devrions-nous toujours utiliser QUOTENAME pour se protéger des attaques par injection?

Je regardais une ancienne procédure stockée aujourd'hui et j'ai remarqué qu'elle utilisait quotenameles paramètres d'entrée. Après avoir creusé pour comprendre ce que cela fait exactement, je suis tombé sur ce site . Je comprends maintenant ce qu'il fait et comment l'utiliser, mais le site dit qu'il est utilisé comme atténuation …

9 sql-server-2008 t-sql sql-injection

2

Les formats de date doivent-ils être spécifiés dans les instructions SQL?

Je vois du code de développeurs utilisant une conversion de date implicite. Je voudrais une réponse définitive à la raison pour laquelle ils ne devraient pas faire cela. SELECT * from dba_objects WHERE Created >= '06-MAR-2012';

8 oracle sql-injection

Questions marquées «sql-injection»