VPF::sql injection ms sql - Форум программистов

Bulat

Дата 29.4.2014, 15:00 (ссылка)

(нет голосов)

Загрузка ...

татарский Нео

Профиль
Группа: Завсегдатай
Сообщений: 1701
Регистрация: 22.3.2006
Где: Альметьевск

Репутация: 5
Всего: 57

Есть сиквел к mssql

Код


SELECT 
  q1.NUM_GR AS num_gr, 
  q1.NAME_GR AS name_gr 
FROM ( 
  SELECT 
    TOP 10 
    q.NUM_GR, 
    q.NAME_GR 
  FROM ( 
    SELECT 
      TOP 20 
      telescop.dbo.GROUP_NAMES.NUM_GR, 
      telescop.dbo.GROUP_NAMES.NAME_GR 
    FROM telescop.dbo.GROUP_NAMES 
    ORDER BY telescop.dbo.GROUP_NAMES.NUM_GR 
  ) q ORDER BY q.NUM_GR DESC 
) q1 ORDER BY q1.NUM_GR

работает хорошо:

Код


my $sth = $dbh -> prepare(
  "SELECT 
    q1.NUM_GR AS num_gr, 
    q1.NAME_GR AS name_gr 
  FROM ( 
    SELECT 
      TOP 10 
      q.NUM_GR, 
      q.NAME_GR 
    FROM ( 
      SELECT 
        TOP 20 
        telescop.dbo.GROUP_NAMES.NUM_GR, 
        telescop.dbo.GROUP_NAMES.NAME_GR 
      FROM telescop.dbo.GROUP_NAMES 
      ORDER BY telescop.dbo.GROUP_NAMES.NUM_GR 
    ) q 
    ORDER BY q.NUM_GR DESC 
  ) q1 
  ORDER BY q1.NUM_GR"
);

$sth -> execute();

работает плохо:

Код


my $sth = $dbh -> prepare(
  "SELECT 
    q1.NUM_GR AS num_gr, 
    q1.NAME_GR AS name_gr 
  FROM ( 
    SELECT 
      TOP ? 
      q.NUM_GR, 
      q.NAME_GR 
    FROM ( 
      SELECT 
        TOP 20 
        telescop.dbo.GROUP_NAMES.NUM_GR, 
        telescop.dbo.GROUP_NAMES.NAME_GR 
      FROM telescop.dbo.GROUP_NAMES 
      ORDER BY telescop.dbo.GROUP_NAMES.NUM_GR 
    ) q 
    ORDER BY q.NUM_GR DESC 
  ) q1 
  ORDER BY q1.NUM_GR"
);

$sth -> execute(10);

пишет

Код


DBD::Sybase::st execute failed: Server message number=170 severity=15 state=1 line=6 server=TELESCOP-PRCE1 text=Line 6: Incorrect syntax near '10'. 
Server message number=156 severity=15 state=1 line=15 server=TELESCOP-PRCE1 text=Incorrect syntax near the keyword 'ORDER'

c mssql работаю в первый раз. smile

--------------------

менеджер по кодеврайтингу smile

BuKTaP

Дата 26.6.2014, 15:09 (ссылка)

(нет голосов)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 0
Регистрация: 17.7.2009

Репутация: нет
Всего: нет

Код


TOP ?

из-за этого.
если хотите получить не первые 10 записей, а все - то пишите

Код


TOP (100) PERCENT

или вообще уберите

Этот ответ добавлен с нового Винграда - http://vingrad.com

Bulat

Дата 27.6.2014, 14:43 (ссылка)

(нет голосов)

Загрузка ...

татарский Нео

Профиль
Группа: Завсегдатай
Сообщений: 1701
Регистрация: 22.3.2006
Где: Альметьевск

Репутация: 5
Всего: 57

BuKTaP, спс, данная проблема решена, и немного по-другому. А суть TOP ? как раз в том и заключается, чтобы защититься от sql-инъекций

--------------------

менеджер по кодеврайтингу smile

infarch

Дата 27.6.2014, 17:01 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 526
Регистрация: 13.3.2009

Репутация: нет
Всего: 1

Плейсхолдеры используются только для передачи значений в поля. В качестве имен таблиц и полей, других параметров запроса, они не работают. Тут вам надо просто проверить или значение для TOP числовое, например $top = int($top);

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| Perl: Общие вопросы \| Следующая тема »