O Que Quer Dizer ...

[Fabiana Silva]

Gente, estou lendo um artigo bacana de segurança. E como tudo pra mim e muito novo ai vai uma duvida de uma expressao usada no artigo que diz o seguinte

JAMAIS faça uma pesquisa no banco com algo que o usuário informou sem trocar primeiramente os caracteres reservados.

O que seria exatamente trocar primeiramente os caracteres reservados ???

bjim

Fabi

[Bob Esponja]

Pelo que eu entendi, isso ai seria no caso de o usuário ter digitado algo com acento, "ç", etc...

Esses caracteres podem não ser reconhecidos pelo seu banco de dados, então o Ideal seria substituí-los por caracteres sem acentos ou qualquer outro recurso gráfico.

Espero ter ajudado, qualquer coisa, posta aí

Abraço

[Fabiana Silva]

ô, beleza!!!!

Clareou bastante

Brigada

[Bob Esponja]

Pode fechar esse tópico...

valeu !

[dark0]

hum..

olá Fabiana..

É quase isso que o Bob falou..

Mas.. entende-se por caracteres reservados.. aqueles caracteres que podem ser usados na linguagem ASP e SQL..

Por exemplo as ASPAS Simples (')

Se você colocar um campo de login.. e não bloquear as aspas simples..

na hora que o usuario digitar a dita aspa.. seu codigo vai interpretar a aspa como se fosse parte do SQL que faz o select na tabela.. (para testar se o usuario é valido..)

E assim, iria gerar um erro de programação..

Faça um teste aí..

Crie um login, e quando derem submit.. faça um SELECT no banco.. usando o request("nome_campo_login") no WHERE..

se você digitar uma aspa simples no campo.. vai dar erro..

então.. caracter reservado, é qualquer caracter que seja usado durante a programação..

Esclarescido?

Até mais..

Dark

[ursolouco]

perdoem a minha ignorancia

Qué isso Xuxu, todu mundo aqui já foi iniciante e ainda é em alguma coisa.

Deixa a vergonha de lado e se solte.... pode perguntar que a galera vai lhe ajudar.

Bjurso!!1

[Fabiana Silva]

ahhhhhhhhhhhh muito Legal!!!!

eu achei o seguinte codigo em uma página de login que eu salvei da internet

usuario = replace(request.form("usuario"),"'","''")

no sql sei que o replace substitui uma string por outra, neste caso ele estaria substituindo uma aspa simples por duas?

não seria mais viavel por "nada"???

duvidas duvidas duvidas....

Fabi

[dark0]

hum..

não exatamente..

o comando replace que você mostrou, está realmente substituindo uma aspa simples por duas aspa simples.

isso, porque se você enviar somente uma aspa simples.. o sql entende como se fosse parte dele mesmo.. e se perde, dando erros

se você trocar por duas, o sql vai ver as duas, e vai ignorar elas.. e assim tudo funciona perfeitamente, e não dá erro nenhum.

entendeu?

t+

[Fabiana Silva]

hummm ta ficando interessante.

só para eu entender direitinho, fiz um teste direto no sql coloquei o seguinte codigo

select  nome from tabela1 where nome like 'a%''' 

e apesar de existir vários registros que inicie com A o comando não me retornou nenhuma linha agora o codigo

select  nome from tabela1 where nome like 'a%''' or nome 
like 'b%'

retorna-se apenas os registros iniciados com B

então o sql ignora os critérios que possuem duas aspas simples?

assim quando as variaveis forem utilizadas o sql não ira retornar nada não permitindo o acesso??

é isso mesmo?

Fabi

[Bicicleta]

você não está entendendo.... Tipo assim, veja dessa maneira:

<%

login = "Meu Login ' com uma aspa"

sql = "SELECT * FROM tabela WHERE login = '"& Replace(login, "'", "''") &"'"

%>

o que será executado será:

SELECT * FROM tabela WHERE login = 'Meu Login '' com uma aspa'

mais o que vai para o banco será:

SELECT * FROM tabela WHERE login = 'Meu Login ' com uma aspa'

Então você permite o uso de aspas no seu código, sem causar erros...

Entendeu???

[]s

[Fabiana Silva]

então, tenho um fabiana com senha ax48

se eu digitar no campo de usuario

fabiana'

e no campo senha

ax48

e tiver todo este tratamento com o replace o sql ira retornar o resultado o registro deste usuario?????

Fabi

[Bicicleta]

não...

você tem o usuário: fabiana no banco, mais está mandando pesquisar por: fabiana'...

Isso se tiver o replace, porque se não tiver vai gerar um erro!

[dark0]

o que o replace faz, é "enganar" o sql.

porque, quando você manda 2 aspas.. ele interpreta como se fosse apenas UMA!

então.. se você mandar ' .. você da um replace pra '' .. mas o sql,vendo '', entende como se fosse só '

e assim não dá erro,e funciona 100%

[Fabiana Silva]

Bacana... Brigadissima...

e Bjs a todos

Fabi

[[ GuTo ]]

Bons links pra você Fabiana

http://www.freecode.com.br/drArtigos/art_d...FEXE10163CSWSGU

http://www.asp4developers.com.br/index.asp?modo=ver&id=l0340

http://forum.zocka.com/index.php?showtopic=239

[Fabiana Silva]

[GuTO] Obrigada pelos artigos, são ótimos adorei todos (exceto o ultimo link que não consegui acessar)

O legal é que eles chamam outros links relacionados ap assunto ....

estou lendo tudo ... pesquisando... estou curtindo estudar sobre segurança ...

Quem tiver mais dicas de links pode mandar ....

[]'s

FABI