[divemaster]

Merhaba,

SQL injection için formdan gelen verileri bir fonksiyona bağlayıp replace ederek temizleyebiliyor/düz yazı olarak yorumlatabiliyoruz. Bunun MySQL'de gayet pratik bir yöntemi var: O da replace edilecek kelimenin önüne \ (ters slash) eklemek. Böylece bizim için korkulan bir tırnak işareti veritabanına yine tırnak işareti olarak eklenirken bir komut olarak algılanmadan düz metin haline getirilebiliyor

replace(gelenVeri, "and", "\and" )

Ancak mssql'de böyle pratik bir yöntem bulamadım. Bu tür pratik bir yöntem ile özel karakterleri düz yazı gibi okutup mssql'e eklemenin bir yöntemi var mı? Yoksa tek yol uzun uzun replace fonksiyonları yazıp önce encode yapıp sonra decode mu yaptırmak

[postal]

divemaster tarafından gönderilen mesaj:

Merhaba,

SQL injection için formdan gelen verileri bir fonksiyona bağlayıp replace ederek temizleyebiliyor/düz yazı olarak yorumlatabiliyoruz. Bunun MySQL'de gayet pratik bir yöntemi var: O da replace edilecek kelimenin önüne \ (ters slash) eklemek. Böylece bizim için korkulan bir tırnak işareti veritabanına yine tırnak işareti olarak eklenirken bir komut olarak algılanmadan düz metin haline getirilebiliyor

replace(gelenVeri, "and", "\and" )

Ancak mssql'de böyle pratik bir yöntem bulamadım. Bu tür pratik bir yöntem ile özel karakterleri düz yazı gibi okutup mssql'e eklemenin bir yöntemi var mı? Yoksa tek yol uzun uzun replace fonksiyonları yazıp önce encode yapıp sonra decode mu yaptırmak

SP kullanarak gelen değerleri parametre ile alabilirsiniz.

[soul]

divemaster tarafından gönderilen mesaj:

Merhaba,

SQL injection için formdan gelen verileri bir fonksiyona bağlayıp replace ederek temizleyebiliyor/düz yazı olarak yorumlatabiliyoruz. Bunun MySQL'de gayet pratik bir yöntemi var: O da replace edilecek kelimenin önüne \ (ters slash) eklemek. Böylece bizim için korkulan bir tırnak işareti veritabanına yine tırnak işareti olarak eklenirken bir komut olarak algılanmadan düz metin haline getirilebiliyor

replace(gelenVeri, "and", "\and" )

Ancak mssql'de böyle pratik bir yöntem bulamadım. Bu tür pratik bir yöntem ile özel karakterleri düz yazı gibi okutup mssql'e eklemenin bir yöntemi var mı? Yoksa tek yol uzun uzun replace fonksiyonları yazıp önce encode yapıp sonra decode mu yaptırmak

En iyi yontem parameterized query kullanmak, gayet te pratik. Yok ille de yapmayacagim dersen tek tirnaklari iki tek tirnak ile replace etmen yeterli olacaktir.

O'Reilly yi su hale getirmen gerekiyor : O''Reilly

Tam olarak bunu sormamissin galiba ama pratik yontem derken? Ozetle tek tirnaklari replace etmen gerekiyor.

[teddmcload]

http://aspnet101.com/aspnet101/tutorials.aspx?id=1

adresinde bir makale var. size yardımcı olacaktır.

[divemaster]

Öneriler için teşekkür ediyorum arkadaşlar.

SP kullanıyorum yaptığım sitelerde ancak sp ile parametre yolladığım girdilerde özel karakterlerin etkinsizleştirildiğini bilmiyordum öğrendiğim iyi oldu.

Bu durumda formdan ya da querystring'den gelen değerlerin süzülmesinin bir önemi kalmıyor

soul; "Tam olarak bunu sormamissin galiba ama pratik yontem derken?"

ASP ile MySQL kullandığımda işaretlerin önüne escape character dediğimiz \ karakterini koyarak Injection'i geçersiz hale getiriyorduk. Bu durumda yazdığımız ' karakteri ascii koda bozulmadan direkt veri tabanına ' olarak giriyordu ve bunu arayüzde tekrar dönüştürmek durumunda kalmıyor ya da karakter sınırlamalarda sorun yaşamıyorduk; tek işlem ile sorunumuz çözülüyordu.

Aynı yöntemi "ASP ile MSSQL kullanırken de nasıl yakalayabiliriz"di benim sormak istediğim. Ancak sp ile karakter dönüştürme gibi bir sorunumuzun olmadığını öğrenmem güzel oldu