Paweł Goleń, blog

Kolejny odcinek serii o tym czego NIE należy robić w trakcie tworzenia aplikacji internetowych. Tym razem o tym, dlaczego nie należy wstawiać zmiennych przekazywanych przez użytkownika bezpośrednio do skryptów JavaScript.

A w zasadzie to "nie wszystko żmija, co pełza". Fakt, węży pojawia się czasami dość sporo, teraz podobno jest znowu ich "wysyp", w tym wysyp żmij właśnie. Problem w tym, że żmija to nie jedyne pełzające stworzenie w naszym kraju... Sam kiedyś widziałem jak spokojnie płynący sobie zaskroniec (w Wetlinie) wywołał panikę ludzi stojących na moście i dzikie wrzaski "żmija, żmija". Nawet jeśli byłaby to żmija, to co ona miała zrobić? Skoczyć 5 metrów do góry i rzucić się do gardła jak królik morderca?

Warto popatrzeć jak wygląda:

• żmija zygzakowata,
• niejadowity zaskroniec,
• padalec, który nawet nie jest wężem...

Jak stwierdził Tomek, temat SQL Injection jest tematem dyżurnym na moim blogu. To nie do końca tak, temat ten nie zajmowałby tyle miejsca, gdyby nie był dyżurnym błędem wielu developerów, których produkty następnie przychodzi mi testować. W każdym razie dla porządku jeszcze ja wymienię te narzędzia:

• Microsoft Source Code Analyzer for SQL Injection,
• UrlScan v3.0,
• Scrawlr,

Jakiś czas temu pisałem o pojawieniu się nowego narzędzia - F-Response. Wówczas mogłem napisać o nim jedynie na podstawie opinii innych ludzi, tak się jednak stało, że dostałem do testów F-Response Enterprise Edition.

Jakiś czas temu pojawiły się informacje o ataku na klientów PKO BP, informacja dostępna jest na przykład tu: Klienci PKO BP - uwaga na cyberoszustów. Tradycyjnie przyczepię się do kwestii merytorycznych zawartych w tym artykule.