1
wdlth 2014-10-05 18:48:11 +08:00
搜索型注入?
|
2
Showfom 2014-10-05 18:51:12 +08:00
只有个名字而已- - 别的信息没有
|
3
qiuai 2014-10-05 18:51:56 +08:00
又不知道金额.没法认领的.
|
4
pyshift 2014-10-05 19:24:10 +08:00
阿里会有搜索型注入吗,那也太low了
|
5
xoxo 2014-10-05 19:27:03 +08:00
想获得人家汇款的金额冒用?这是金融诈骗,重罪
|
6
iam36 2014-10-05 19:56:49 +08:00 via Android
SQL注入漏洞
|
7
wzxjohn 2014-10-05 20:00:04 +08:00 via iPhone
没啥意义,估计也就是没过滤百分号。关键是就如客服所说这些信息你看到也没用。。。就跟失物招领一样。。。你总不能失物招领还把所有东西都锁起来吧。
|
8
raincious 2014-10-05 20:18:40 +08:00
@iam36 很明显这不是注入漏洞。只是Wildcard未转译,是可靠性问题而不是安全问题。
话说SQL的Wildcard转义真的太纠结,原来我都是在搜索关键词的查询语句上做转义(将%删掉)。 后来搜索功能写多了烦了,才在SQL Builder上加入了规范的Wildcard转义方法,用!做转义字符。 实现起来就像这样: https://github.com/raincious/facula/blob/master/src/Facula/Unit/Query/Operator/PgSQL.php#L452 参考: http://stackoverflow.com/questions/4588424/searching-using-mysql-how-to-escape-wildcards |