Jinak, opravdu je lepší cesta jen povolit nezbytné, než "lepit" díry.
Pokud má být někde čistý anglický text (navíc bez teček a dalších věcí, jen samotná písmenka a mezery), nevidím důvod proč proměnnou nepřetypovat na string a pak zkusit, jestli vyhovuje reg. výrazu "a-zA-Z " a jestli ne, tak vyhodit chybu a NEvypsat řetězec, kde je chyba, ale jen nějakou obecnou hlášku.
Vlákno názorů k článku
ČSOB podcenila zabezpečení svého webu
aura:35
DuDDo (neregistrovaný)
24. 4. 2008 8:29
Re: Regulární výrazy.
Ano s tymto suhlasim. Tiez si myslim ze vo vacsine pripadov je lepsie pouzivat whitelisty ako blacklisty. (Cize povolit len to co je urcite bezpecne, a nie zakazovat zname bezpecnostne hrozby).
No v praxi sa obcas stava, ze to proste nejde. :-(
No v praxi sa obcas stava, ze to proste nejde. :-(
aura:35
24. 4. 2008 9:12
Re: Regulární výrazy.
To je pravda, tak člověk aspoň zakáže špičaté závorky a pár věcí.
Stejně ale, kde to jde jednoduše zavést, že to není z programátorského hlediska složité, tak proč to neudělat.
Stejně ale, kde to jde jednoduše zavést, že to není z programátorského hlediska složité, tak proč to neudělat.
aura:35
24. 4. 2008 9:30
Re: Regulární výrazy.
LOL :), jak se na to dívám
http://ha.ckers.org/xss.html
tak to vidím jednoduše na reg. výraz. Člověk by musel zakázat tolik věcí, a stejně to nebude zdaleka vše. Ten reg. bude rozhodně jednodušší.
http://ha.ckers.org/xss.html
tak to vidím jednoduše na reg. výraz. Člověk by musel zakázat tolik věcí, a stejně to nebude zdaleka vše. Ten reg. bude rozhodně jednodušší.
gdg (neregistrovaný)
24. 4. 2008 10:01
JS - jazyk neomezenych moznosti
Ze zapisniku pentestera ..
var {5:y,2:q,1:z,4:u,3:r,0:w}=”velart”}[0][z+w+r+q](r+q+z+u+y)(123)
([0][’eval’])([{$:’alert(0)’}.$][0])
eval(/alert(1)/[-1])
0..eval(location.hash) ... URL obsahuje kod, ktery se vykona, napr. o #0={};alert(1)
var {5:y,2:q,1:z,4:u,3:r,0:w}=”velart”}[0][z+w+r+q](r+q+z+u+y)(123)
([0][’eval’])([{$:’alert(0)’}.$][0])
eval(/alert(1)/[-1])
0..eval(location.hash) ... URL obsahuje kod, ktery se vykona, napr. o #0={};alert(1)
