У Bitninja есть ложные срабатывания инъекции sql? - PullRequest
0 голосов
/ 11 апреля 2019

Я пытаюсь сохранить код php, чтобы сохранить примеры и шаблоны кода на сервере, который я сейчас арендую. Проблема в том, что когда я отправляю $ на сервер, он сохраняет его в базе данных, нет проблем. Но когда я запрашиваю данные, он говорит, что есть SQL-инъекция и блокирует IP-адрес, по которому я запросил таблицу. Забавно то, что в моей таблице есть категории, и проблема возникает только тогда, когда я запрашиваю "category_id = 3", в других категориях нет всплывающих окон, показывающих мне данные с $.
В целом, я понимаю, как это может быть проблемой, но все мои входные данные экранированы и имеют особые меры в особых случаях, и все мои запросы формируются одними и теми же функциями.

Я пытался изменить $ на & доллар; чтобы обойти эту проблему, чтобы в случае, если я забыл что-то избежать или я не знаю, php не распознал бы это как переменную, но результат тот же.
Я действительно не понимаю, почему это может быть основной проблемой BitNinja, когда я сохраняю html-сущности в виде простого текста.

Я знаю, что могу сохранить коды в файлах, обойти базу данных или base64 код и сохранить его как таковой, но здесь проблема не в этом.

1 Ответ

0 голосов
/ 12 апреля 2019

Если вы используете модуль WAF, то да, он дает ложные срабатывания (как почти любое обнаружение WAF SQL-инъекций).В своей записи в блоге об этом говорится:

Наш модуль WAF 2.0 защищает вас от SQL-инъекций.

В официальном наборе правил OWASP Core у нас есть набор правилдля этого вектора атаки.Это очень общий набор правил, поэтому, если вам нужно его использовать, вы должны быть очень осторожны.Я предлагаю, если вы включите его, используйте его в режиме только журнала.

Как упоминает Билл в комментариях, нам нужно будет увидеть код и данные, чтобы определить, является ли это истинным ложным срабатыванием..

...