Please enable JavaScript.

Coggle requires JavaScript to display documents.

SQL INJECTION PT2 - Coggle Diagram

- - - - ma viene ricostruito osservando le risposte dell'applicazione.
- - - - deve essere considerato potenzialmente pericoloso anche dopo essere stato memorizzato.
- - - - Bisogna evitare di costruire le query tramite concatenazione di stringhe.
      - Le query parametrizzate separano:
        
        Struttura della query da dati utente
      - Concetto fondamentale da ricordare:
        
        Le query parametrizzate impediscono all'input dell'utente
        
        di modificare la struttura e la logica della query
- - - - nome della tabella;
      - nome della colonna;
      - ordinamento ORDER BY.
    - - In questi casi si utilizza una WHITELIST
        
        Il server accetta solamente valori predefiniti e consentiti.
        
        Esempio concettuale:
        
        nome ✅ | prezzo ✅ | data ✅ | altro ❌
        
        Un'altra possibilità è una mappatura interna,
        
        in cui valori scelti dall'utente vengono associati dal server agli elementi SQL consentiti.