It’s not really that simple.I first

It’s not really that simple.

I first saw that very exact example a year ago (it was in a quiz from a security course). It requires that your database is configured to use that charset. I believe that most databases in the western world are not configured to use that charset, thus the attack won’t work.

Even though you should use prepared statements to prevent SQLi, mysql_real_escape_string() will prevent the attack. The difference between addslashes() and mysql_real_escape_string() is that the latter is aware of the charset used in the database (it connects to the database to retrieve that information).

Αποτελέσματα (Ελληνικά) 1:

Δεν είναι πραγματικά τόσο απλό.Πρώτη φορά είδα ότι πολύ ακριβή παράδειγμα πριν από ένα χρόνο (ήταν σε ένα κουίζ από μια πορεία ασφάλειας). Απαιτεί ότι σας βάση δεδομένων έχει ρυθμιστεί να χρησιμοποιεί το σύνολο χαρακτήρων. Πιστεύω ότι οι περισσότερες βάσεις δεδομένων στο δυτικό κόσμο δεν έχουν ρυθμιστεί να χρησιμοποιούν αυτό το charset, ως εκ τούτου η επίθεση δεν θα λειτουργήσει.Ακόμα κι αν πρέπει να χρησιμοποιήσετε έτοιμες δηλώσεις για την πρόληψη SQLi, τα mysql_real_escape_string() θα εμποδίσει την επίθεση. Η διαφορά μεταξύ addslashes() και mysql_real_escape_string() είναι ότι το τελευταίο είναι ενήμεροι για το σύνολο χαρακτήρων που χρησιμοποιείται στη βάση δεδομένων (συνδέεται στη βάση δεδομένων για να ανακτήσετε τις πληροφορίες).

Αποτελέσματα (Ελληνικά) 2:

Δεν είναι πραγματικά τόσο απλό. Είδα για πρώτη φορά ότι η πολύ ακριβή παράδειγμα πριν από ένα χρόνο (ήταν σε ένα κουίζ από την πορεία της ασφάλειας). Απαιτεί ότι η βάση δεδομένων σας έχει ρυθμιστεί ώστε να χρησιμοποιεί το εν λόγω σύνολο χαρακτήρων. Πιστεύω ότι οι περισσότεροι βάσεις δεδομένων στον δυτικό κόσμο δεν έχουν ρυθμιστεί για να χρησιμοποιεί το εν λόγω σύνολο χαρακτήρων, έτσι η επίθεση δεν θα λειτουργήσει. Ακόμα κι αν θα πρέπει να χρησιμοποιήσετε έτοιμες καταστάσεις για την πρόληψη SQLi, mysql_real_escape_string () θα αποτρέψει την επίθεση. Η διαφορά μεταξύ addslashes () και mysql_real_escape_string () είναι ότι το τελευταίο έχει επίγνωση του συνόλου χαρακτήρων που χρησιμοποιείται στην βάση δεδομένων (συνδέεται με τη βάση δεδομένων για να ανακτήσει τις πληροφορίες).