virgola ed sql injection

[agenti]

Mi ritrovo all'improvviso un dubbio:

?deposito=6.000,&pulizia=80,

se qualcuno cerca di passare una virgola alla mia stringa
una virgola non autorizzata per intenderci..

il sistema diventa vulnerabile (apici a parte) ?

Il mio dubbio è come fare una funzione che elimini le virgole dai parametri senza toccare
la formattazione di un testo, cioè senza eliminare le virgole o i punti e virgole dentro del testo o un array.

[imente]

che c'entrano le virgole...

il punto è il controllo dei dati

fai il controllo dei dati?

---

mettiamo che passo il dato testo=ciao pippo

l'utente (che è bastardo) lo fa diventare testo=ciao pippo,

ora, io recupero il dato

testo = request.querystring("testo")

e lo metto nel db

SQL = "UPDATE miatab SET testo = '" & replace(testo,"'","''") & "' WHERE id = 1"
conn.execute(SQL)

nella tabella miatab, nel campo testo ci sarà "ciao pippo,"

dov'è il problema?
me lo perdo io?

---

leggiti questo in ogni caso
http://forum.html.it/forum/showthrea...ight=cleanlong

[agenti]

forse sono io che mi è venuto un attacco di panico mah...


il replace è chiaro, ma se il testo contiene già una virgola ?


"ciao pippo,"

e l'utente ne aggiunge un altra ?


"ciao ,pippo,"

con il replace eliminerei tuttele virgole nel testo o sbaglio ?

[imente]

IL REPLACE E' PER GLI APICI!!!

le virgole rimangono intatte

[agenti]

CAFFè TANTO CAFFè..

[Santino83_02]

Originariamente inviato da agenti
CAFFè TANTO CAFFè..

per vena..

[agenti]

cmq non mi sono spiegato bene...

in realtà ho aggiunto una virgola ad un campo numerico...
e dato che recuperavo il parametro con un
cint(request("miocampo")) andava in errore ( type mismatch)

ma il problema si pone se un utente bastardo decidesse di modificare la stringa di un array...

"1,2,3,4,5,0,"

o sbaglio..
intando prendo un litro di caffè..

[optime]

age, non riesco a capire il problema... sii più chiaro, fa' un esempio

[imente]

ma perché una stringa con delle virgole è un array?

in quale mondo?

non certo in quello degli oggetti STRING

per aggirare l'errore type mismatch ti ho già mostrato come fare (ti fai una funzione cleanInt() )

"1,2,3,4,5,0," questa è una stringa con tante belle virgole e numeri, nulla più
(a meno che tu non fai uno split sulla virgola)

---

io proverei con la camomilla

[agenti]

ragà .. forse è meglio che vado direttamente a mare.
poi ci ripenso.

per imente...

so che è una stringa:

ma per recuperarla solitamente faccio così:

dim arr
arr = request("arr")
Arr1 = split(arr,",")

se un ntente digita "1,2,3,4,5,,,,," e l'array originale è "1,2,3,4,5"

mi troverò un UBOUND(arr1) di uan dimensione superiore.

é anche vero che se dovessi usare l'array in un ciclo
basterebbe ciclare solo se arr1(i) è numerico

quindi chiudo e vado a mare !