REGEXP, фильтровать?

[iceman]

REGEXP, фильтровать?

есть ли какая либо опастность в использование POST|GET данных без фильтра на метосимволы в sql запросе

пример: $sql = 'SELECT * FROM table1 WHERE title REGEXP ' . $_GET['search_string'];

???

 

[Gas]

как один из примеров - http://injection.rulezz.ru/MySQL-SQL-Injection.html

 

[iceman]

не, на возможность вставить слэш в моем примере не обращай внимания

внимание нада обратить на содержание REGEXP '...'
на сами метосимволы регулярного выражения

т.е. дать пользователю возможность вставить свое регулярное выражение... или будет "нехорошо"?

 

[Wicked]

будет нехорошо

 

[iceman]

а почему? примеры можете привести?

 

[Wicked]

mysql> select 'a' regexp '(';
ERROR 1139 (42000): Got error 'parentheses not balanced' from regexp

этого достаточно?

 

[iceman]

да +)

-~{}~ 21.08.08 09:52:

хотя ну и что ошибка, результат поиска будет пустым...

 

[Фанат]

очередной буратина, который вчера увидел бд, знает только один запрос select, но ему уже надо разжевать суть инъекций, для которых надо изучать работу БД годами.

при этом он же у нас самый умный, тупо копировать элементарные действия по работе с базой не хочет. он хочет быть умнее всех, и не совершать "ненужных" действий.

"а докажите мне, что будет инъекция! тогда буду пользоваться вашими скучными рекомендациями по защите!"
никто тебе ничего доказывать не будет. максимум, что ты получишь - пинка под зад

 

[iceman]

REGEXP, фильтровать? часть 2

http://phpclub.ru/talk/showthread.php?s=&threadid=109904&rand=7

to *****: ты не прав!

я познакомился с REGEXP только сегодня, и у меня конечно очень много вопросов...

напрмер я и не понимаю какая инъекция может быть в REGEXP

поясните, вы же люди опытные...

 

[Фанат]

вот ведь идиот.
тебя забанить?