نوشته‌شده در

java – آیا این پارامتر به تزریق SQL آسیب پذیر است؟

سرور پشت صحنه Tomcat 8.5 (جاوا اسکریپت) را اجرا می کند. نشانی اینترنتی مورد نظر: 

 https://website.com/application/servlet.do؟currentOID=abc12300000000

متوجه شدم وقتی که من یک OID ناقص (یعنی 1 کاراکتر را حذف کنم)، یا یک کاراکتر (یعنی a یا ') را اضافه می کنم، سرور یک خطا می کند: 

 org.apache.ojb.broker.PersistenceBrokerSQLException: شکست SQL در حالی که درج اطلاعات شیء برای کلاس com.abc، PK از شی داده شده است [ oid=CBA000000AAAAA]، شی GroupPageTab CBA000000AAAAA، پیام استثنایی [String or binary data would be truncated.]
    در org.apache.ojb.broker.accesslayer.JdbcAccessImpl.executeInsert (JdbcAccessImpl.java: 243)
    در org.apache.ojb.broker.core.PersistenceBrokerImpl.storeToDb (PersistenceBrokerImpl.java: 1642)
    در org.apache.ojb.broker.core.PersistenceBrokerImpl.store (PersistenceBrokerImpl.java: 1557)
    در org.apache.ojb.broker.core.PersistenceBrokerImpl.store (PersistenceBrokerImpl.java: 1506)
    ...

و OID CBA000000AAAAA تغییر می کند زمانی که currentOID تغییر می کند. آیا این به نظر می رسد که ممکن است به تزریق آسیب پذیر باشد؟ من در JDBC کم تجربه هستم بنابراین مطمئن نیستم

نوشته‌شده در

آیا تخم لوبیا تخم مرغ قابل پیش بینی است؟

به عنوان مثال، من به نام های باقیمانده مانند "<3 CHAR PREFIX>" سابق. "FIL000000AZB3Y" (نام تصادفی) که FIL به یک شی File اشاره می کند، و 0000 … OID است. آیا این امکان پیش بینی شده است، یا پیش بینی فقط ممکن است از طریق نیروی مقاومت در برابر هر a-zA-Z0-9 برای 5 علامت باشد.