t_komuraの日記 - addslashes() による SQL 文字列のエスケープ回避問題
The addslashes() Versus mysql_real_escape_string() Debate (Chris Shiflett: The PHP Blog) で文字コードによっては addslashes() による SQL のエスケープ処理は問題があることが指摘されていました。 日本語でも、Shift_JIS を扱っている場合は同様の問題が起きる可能性があるように思われましたので、メモしておきます。何か間違い、勘違いなどがありましたら指摘してください。おそらく、PHP だけの問題ではないと思います。 日本語でも文字コードが Shift_JIS の場合、addslashes() によるエスケープ処理では SQL インジェクションが可能になってしまうケースがあります。 例えば、上記のページの例を少し変更すると以下のようになります。 <?php // 例: 文字コードが Sh
WebAppSec - WebAppSec Wiki - 脆弱性の解説/Blind SQL Injection
説明 † SQL Injection の応用。記事の表示など一見影響のないユーザ情報テーブルにアクセスしていないアプリケーションでも、データベースにそこでの SQL Injection を使ってユーザのパスワードを抜くという例が挙げられている。 例えば、 http://somesite.example.com/foo.php?id=123 とアクセスした場合、アプリケーション内部では、 SELECT content FROM articles WHERE id=123 という SQL が実行されるアプリケーションがあったとする。ここで、 http://somesite.example.com/foo.php?id=123+AND+1=1 とアクセスした場合、アプリケーション内部では、 SELECT content FROM articles WHERE id=123 AND 1=1 という
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
