gpt4 book ai didi

sql-server - 黑客可以欺骗或注入(inject)表单字段吗?

转载 作者:行者123 更新时间:2023-12-01 11:45:08 24 4
gpt4 key购买 nike

我正在检查我的应用程序,试图尽可能地保护它,这让我开始思考。我总是验证我的用户的输入,我总是删除输入,所以例如,如果我有一个“生日”字段,我会确保它是一个有效的日期,然后再将它放入数据库。但我的数据库中也有字段,如“passwordresettoken”,如果用户请求,我的代码会生成此字段。

现在在我的普通用户配置文件页面上,我显然没有名为“passwordresettoken”的字段,所以我不验证或删除它,因为它不应该存在于将要传递的表单中。事实上,它不应该被传递,因为它不是用户输入的东西。

所以我的问题是,是否可以欺骗输入字段?他们能否编辑我页面上的 HTML 以包含 passwordresettoken 字段,然后在表单通过时造成一些破坏?

最佳答案

绝对是的。我什至不必查看您的 HTML。我可以直接使用 curl 提交。

http://curl.haxx.se/docs/httpscripting.html

这个 html

    <form method="POST" action="junk.cgi">
<input type=text name="birthyear">
<input type=submit name=press value=" OK ">
</form>

相当于这个curl请求

curl --data "birthyear=1905&press=%20OK%20" http://www.example.com/junk.cgi

关于sql-server - 黑客可以欺骗或注入(inject)表单字段吗?,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/16025856/

24 4 0
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com