| Forum: ADO.NET |
Thema:
Re: SQL erzeugen? |
Von:
Thomas Golla (
24.05.2005 11:12) |
Eine Sache interessiert mich aber noch ...
Wenn ich dies habe:
"select * from a where b = '" & c.replace("'","''") & "'"
welche syntax muss in c stehen damit ein sql-injenction erfolg hat und wenn ich bei
"select * from a where b = " & c.ToString.Replace(",",".") & " "
c auf isnumeric überprüft habe, was muss in c stehen damit auch hier sql-injenction funktioniert?
Habe im Internet schon gesucht aber leider nichts dazu gefunden.
Siehe auch: http://www.4guysfromrolla.com/webtech/061902-1.shtml
Ich werde auf jeden Fall so nicht mehr "coden" (nochmals Danke) aber ich würde gerne wissen wie das oben funktioniert :-)
Lieben Gruß
Tom
| Betreff |
Von |
Datum |
|
|
  |
Re: SQL erzeugen?
| Hallo Leute,<br><br>das beste, um SQL Injection entgegen zu wirken, sind doch wohl Parameter, die man immer verwenden sollte, oder sehe ich das falsch ?<br><br>Wie z.B.<br>SELECT * FROM a <br>WHERE b = @p_b<br>AND ... |
|
|
|
|
|
G.
Guest
|
02.06.2005 16:14 |
|
|
|
Antworten
Vorsicht bei der Eingabe: Die Zeichen ' oder -- sind nicht erlaubt!
