Руслан
Новичок
Доброго дня.
Ситуация такая. Прикупили систему (автоматизация работы с оборудованием) и дополнительной фичей к ней идёт веб интерфейс (php + firebird).
Немного посмотрел на интерфейс и обнаружил такую проблему. Незаэкранированны кавычки при приёме данных от формы авторизации. То есть я ввожу в поле "имя пользователя":
' or 1=1--
И соответственно вхожу в админку. Пароль при этом не имеет значения, потому что вид запрос приобретает следующий:
WHERE USER_NAME = ' ' or 1=1--' AND USER_PASSWORD = F_CIPHERPSWD('123');
логично, что кавычку надо заэкранировать.
Почитал фак Фаната по этой теме, так как с firebird ранее никогда не работал, но к сожалению у него рассматривается только варианты с mysql.
Попробовал банальный addslashes - для firebird он не работает, похоже что экранируется другими симоволами. (вроде как ещё одним ' , но не уверен).
Вобщем вопрос - кто работал с firebird подскажите - чем в нем экранируется кавычка и какая функция для неё будет аналогична функции mysql_real_escape_string() ?
Ситуация такая. Прикупили систему (автоматизация работы с оборудованием) и дополнительной фичей к ней идёт веб интерфейс (php + firebird).
Немного посмотрел на интерфейс и обнаружил такую проблему. Незаэкранированны кавычки при приёме данных от формы авторизации. То есть я ввожу в поле "имя пользователя":
' or 1=1--
И соответственно вхожу в админку. Пароль при этом не имеет значения, потому что вид запрос приобретает следующий:
WHERE USER_NAME = ' ' or 1=1--' AND USER_PASSWORD = F_CIPHERPSWD('123');
логично, что кавычку надо заэкранировать.
Почитал фак Фаната по этой теме, так как с firebird ранее никогда не работал, но к сожалению у него рассматривается только варианты с mysql.
Попробовал банальный addslashes - для firebird он не работает, похоже что экранируется другими симоволами. (вроде как ещё одним ' , но не уверен).
Вобщем вопрос - кто работал с firebird подскажите - чем в нем экранируется кавычка и какая функция для неё будет аналогична функции mysql_real_escape_string() ?