[Tep-j-general] Re: order editor が動きません。

Back to archive index

hamada bungu****@leo*****
2005年 2月 23日 (水) 10:51:55 JST


こんにちわ。

On Wed, 23 Feb 2005 10:36:19 +0900
田中裕之@グリニッジ <tanak****@green*****> wrote:

> osCommerceにおいては、(int)による型キャストの変換は、ほとんどの
> 部分で、SQLインジェクション対策として行われていると認識している
> のですが、今回は、oIDが文字列であるがために、tep_db_input()で同様
> の対策を行っているのだと思います。

あ、addslashes()=tep_db_input()を噛ませてるのは、クエリ文字列のサニタイ
ズなんですね。納得しました。

確かに'や"をエスケープせずにそのままクエリとして投げちゃうと、すげぇヤバ
いクエリが作れちゃいますもんね。

(この辺をぱっと思いつけないのが当方のスキルの低さで…:^^;)

ということで、(int)をただ撤去するだけじゃヤバいです。田中さんのご指摘通
り、tep_db_input()と置き換えて、文字列のサニタイズ処理を行なうようにして
ください。>甲斐さん

まぁ/adminは、.htaccess等で「知らないヒト一切お断わり」としとくのが基本
だと思う→/catalogに比べれば危険度低いですが、それでもサニタイズを怠って
いいってことにはならないんで。

はまだ






Tep-j-general メーリングリストの案内
Back to archive index