Question

我们现在收到价值参数,即<代码>VARCHAR,然后从这些数值中确定一个日期。我愿确认,以下方法将阻止在声明中注入库克的可能性:

select CONVERT(datetime,  2010  +  -  +  02  +  -  +  21  +     +  15:11:38.990 )

另一项说明是,通过储存的代谢通过的实际参数受限为<代码>(4、2、10、12)VARCHAR。

Answer 1

如果你在储存的程序中使用这样的声明:

select CONVERT(datetime, @Year +  -  + @Month +  -  + @Day+     + @Time)

那么,由于目标数据类型<代码> 日期将只收到有效的日期指示,你应当被罚款。

如果您在所储存的程序中利用了这一方法:

EXEC ( select CONVERT(datetime, @Year+  -  +@Month+  -  +@Day+     + @Time) )

你们可能有一个问题,不大可能,因为投入范围有限,但谁知道一些黑客会想到什么适合这个小空间。

Answer 2

如果该声明是存储程序,那么你就会获得q的注射。

例如,如果用一种语言—— php——来发表这一声明,那么,仅仅确保你逃脱在路上(用我方言或用ms)的扼杀,以避免注射攻击。