Rails SQL Injection Examplesの紹介

6. 脆弱性のあるアプリケーション Copyright © 2010-2014 HASH Consulting Corp. 6 @books = Book.where( "publish = '#{params[:publish]}' AND price >= #{params[:price]}") 山田 祥寛 (著) Ruby on Rails 4 アプリケーションプログラミング 技術評論社 (2014/4/11) に脆弱性を加えましたw ※元本に脆弱性があるわけではありません 7. UNION SELECTにより個人情報を窃取 Copyright © 2010-2014 HASH Consulting Corp. 7 priceに以下を入れる 1) UNION SELECT id,userid,passwd,null,mail,null,false,created_at,updated

[udzura]

ActiveRecord::Base.connection.quote？なんか微妙... そもそもparamsをそのままAR::Relation#orderに投げ込んでる時点で臭いすぎるのでやめさせると思ったり...

[ockeghem]

資料公開しました #owaspjapan

[moguno]

otukutun_retro wrote: otukutunのはてブ棚卸し：Rails SQL Injection Examplesの紹介 http://t.co/qDb0gqlGSh

[milk1000cc]

order param は普通ホワイトリスト検査する

[tkawa]

orderは自分ならparams用モデルつくってホワイトリスト検査するかなぁ。でもその前にto_symしちゃいそう

[joker1007]

order byに仕込めるSQLについて

[masa-wo]

なるほど

[sho]

これはお役立ち。Symbolは2.2からGCされるけど。

[Konboi]

“ ”

[ukky3]

昨日の OWASP Night 12thの資料公開されてますよー(その2)。#owaspjapan (徳丸さん) 「Rails SQL Injection Examplesの紹介」

[sonots]

徳丸さん

[harupu]

order byは、「order by xxx,sleep(ascii(複文とか)-110)」とかが比較的通りやすい印象で個人的には好きです。

[iga_k]

おもしろい

[sora_h]

2.2からSymbol GCされるとは言え、なんか変な気分になるのであまりオススメしたくない。トリッキーすぎる

[wget_wget]

めっちゃ基本的なことだけど考えないで作る人とかいるんだろうな。

[ryonext]

where気をつけないとだめなのですね

[fujikawa-y]

こういうことも考えないといけない

[ktakemoto]

こいつあーたすかる

[asuka0801]

SQLインジェクションサンプル集。勉強になります