Re: [好奇]寫program超強的同學

[zeebra (Be Bop)]

話說不算row.count真的很危險
有些很爛的asp做select時直接拿textbox的值串到sql變數裡
ex: sql="select data from table where id=" & textbox
這種東西只要在textbox裡面隨便加上"or 1>0" 整個table都可以抓出來
學校做作專題還可以 商業應用真的有很多knowhow是學校不會教的
※ 引述《twnin (掩飾)》之銘言：
: 生氣的再舉例一個
: Dim sql as string
: sql = "Select XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX~~~~~超級長"
: Dim i as Integer
: For i=0 to 5
:    Dim dt as Data.DataTable = GetDataTable(sql)
: Next
: 沒錯
: 用一個迴圈跑了六次一模一樣的sql
: 然後取得table之後
: 就....不管它了....
: -----------------------------------------------------------------------
: 一個專案有一半的工程師都有做跟沒做一樣
: 不如你的薪水給我好了, 反正你的事情也都是我在做
: 你跳進來改同一支程式只會扯我後腿, 越改越爛
: 更!!!!
: 就是在說你們啦...
: 商科畢業跑去資策會上課
: 然後又一起去唸了個資管在職碩班
: 你只學了怎麼扯後腿嗎??

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 123.204.64.155
※ 編輯: zeebra          來自: 123.204.64.155       (04/05 19:42)
推 now99:這就是經驗了阿
※ 編輯: zeebra          來自: 123.204.64.155       (04/05 20:43)
推 leicheong:btw, SQL injection這東西我在學校時就有學到了...
推 bobju:一般網路概論的課程會稍微講到一下. 當然不會深入探討到技術
→ bobju:面.
→ bobju:網路安全
推 amitofo:SQL Injection
推 Ageis:學校會教是會教，但學生知道之後通常也只是見林不見樹
推 luciferii:這個問題不是在不算rowcount吧...
→ zeebra:算rowcount是一種解法喔 很多商業應用的邏輯裡 一個id只
→ zeebra:會對應1或<n筆資料 當然白名單或黑名單也可以解
推 choufeng:這是網安問 你說的這種以前叫做作 隱碼攻擊
推 choufeng:          題