Обновление видео в IP. Videosystem

[Trotor 27]

7 минут назад, siv1987 сказал:

Это тот же самый запрос. 

Так как мне всё это отрубить? Готов отказаться от функционала, главное что бы приложение работало.

[newbie 1721]

09.12.2020 в 03:48, Trotor сказал:

Так как мне всё это отрубить?

- Отключить приложение

- Исправить уязвимости

- Включить приложение

[Trotor 27]

12 часов назад, newbie сказал:

- Отключить приложение

- Исправить уязвимости

Отключить не проблема. Где искать уязвимость - не понятно.

[newbie 1721]

11.12.2020 в 21:06, Trotor сказал:

Отключить не проблема. Где искать уязвимость - не понятно.

УязвимостИ.

[Trotor 27]

1 час назад, newbie сказал:

УязвимостИ.

В любом случае, я даже не представляю где их искать.

[siv1987 2625]

15.12.2020 в 16:17, Trotor сказал:

В любом случае, я даже не представляю где их искать.

Их искать не нужно, она у вас прямо в сообщение, этот sql запрос и является уязвимым, в нем есть переменные которые не проходят достаточную фильтрацию данных через которые в запрос можно встроить левые команды. В переменной с "order by" регулярным выражением достаточно достаточно разрешить только алфавитные символы ^\w+$ а в "order sort" только два типа значения desc или asc.

Сейчас не за компом, точный код не могу написать.

[Trotor 27]

3 часа назад, siv1987 сказал:

В переменной с "order by" регулярным выражением достаточно достаточно разрешить только алфавитные символы ^\w+$ а в "order sort" только два типа значения desc или asc.

А как это реализовать?

[siv1987 2625]

Неудобно писать код с телефона, когда буду за компом покажу как. Ничего сложного там нету.

[Trotor 27]

12 минут назад, siv1987 сказал:

Неудобно писать код с телефона, когда буду за компом покажу как. Ничего сложного там нету.

Спасибо.

[Trotor 27]

19.12.2020 в 00:25, siv1987 сказал:

Неудобно писать код с телефона, когда буду за компом покажу как. Ничего сложного там нету.

Видимо в следующем году, сейчас же предновогодняя суета