y59JP y59JP 2016-06-22 22:34:09

[JavaScript] SQL構文作っちゃったぜ。 このエントリーをはてなブックマークに追加

投稿者からのアピールポイント

1';と書いた後に好きなコードを書いて、最後に; #と書けばヤられ放題。

良い子のみんなは 絶対に 真似しないでね。

// ボタンが押されたら
$( document ).on( "click", ".shit_button", function() {
	var id = $( this ).attr( "data-id" );
	var value = $( "#textbox" ).val();
	
	var SQL = "UPDATE `raped` SET `sucked_my_dick` = '" + value + "' WHERE `id` = '" + id + "'";
	
	$.ajax({
		url: "./query.php",
		type: "POST",
		dataType: "text",
		data: { query: SQL }
	}).done(function() {
		console.log( "やったぜ。" );
	});
});

/**
 * 良い子のみんなはクライアントサイドでSQL文を作らないように。
 * そしてサーバーサイドでもSQLインジェクションに気をつけるように。
 *
 * valueの値が、例えば・・・
 * 「1'; DROP DATABASE `firetruck`; #」
 * と書かれてしまったらDBごと消されて一環の終わりである。
**/

使い方ヒント: 「これは臭う」という行を見付けたら、各行のsmellをクリックしてマーキングしておきましょう(要Twitter OAuth認証)

コメント(2)

#1 migimatsu migimatsu 2017-02-01 14:59:39  

昔、某地方銀行の Web サイトに http://....../q.cgi?q="select xxx ...." なる URL を見つけて、 みんなでもてあそんだことがあります。drop init し放題 ^^;

#2 InternalServerE InternalServerE 2017-04-09 05:17:48  

migimatsuさん
それ、通報したら普通に逮捕される話題ですが、こんなところでカミングアウトしちゃって大丈夫ですか・・?

コメント投稿には、twitter認証が必要です。

Twitter認証

このウンコードに臭った人は、こちらのウンコードにも臭ってます

[Java] もうコメント書くなお前

このエントリーをはてなブックマークに追加

改修案件でぶち当たったソース マジでこ...

/**
  *
  *   〇〇の値を取得する
  *
  */
pu...

鑑賞する »

[Java] 長すぎるor短すぎる関数名

このエントリーをはてなブックマークに追加

Javadocでやれ

public static User findByFirstNameFamily...

鑑賞する »

[Java] ぼくの考えた最強のリスト

このエントリーをはてなブックマークに追加

やればできる

import java.util.ArrayList;
import java...

鑑賞する »