Comment éviter l'injection de code en C ++

La première règle d'éviter Code injecter dans les programmes C ++ est jamais, déjà, permettre une entrée d'utilisateur à traiter par un interprète de langue d'usage général. Une erreur courante avec SQL-injection est que le programme accepte la saisie de l'utilisateur comme si elle était toujours acceptable et l'insère dans une requête SQL qu'elle a ensuite navires au large au moteur pour le traitement de base de données.

A titre d'exemple, un programme demandant l'entrée d'utilisateur sur une date pourrait être piraté. L'approche conviviale sûr et le plus serait de fournir à l'utilisateur un graphique de calendrier à partir de laquelle il pourrait choisir les dates de début et de fin. Le programme serait alors de créer une date basée sur ce que l'utilisateur a cliqué.

Si cela est impossible, le programme doit vérifier soigneusement l'entrée pour vous assurer que l'entrée était dans le bon format pour une date, dans ce cas, aaaa / mm / jj - en d'autres termes, les quatre chiffres suivis par une barre oblique suivie de deux chiffres et une barre oblique et, enfin, deux autres chiffres. Rien d'autre ne devrait être considérée comme entrée acceptable.

Parfois, vous pouvez # 8242-t-être spécifique sur le format. Si vous devez permettre à l'utilisateur de saisir du texte flexible, alors vous pouvez au moins éviter les caractères spéciaux. Par exemple, il # 8242-s à peu près impossible de faire l'injection de code SQL sans l'aide d'un guillemet simple ou double.

Vous pouvez # 8242-t balises insert HTML sans l'aide d'un moins (lt;) et supérieur à (>) signe. Ou vous pouvez simplement prendre l'approche que d'autres que texte ASCII rien ne sera toléré:

// Vérifier une chaîne de caractères # 8242-de la # 8242- pour vous assurer qu'il # 8242 s-ASCIIsize_type emblée = s.find_first_not_of ("abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ01234567890 _") - if (! Off = string :: npos) {cerr lt; lt; "Erreur n" -}

Ce code recherche la chaîne s pour un personnage qui # 8242-S pas un des caractères A à Z, a à z, 0 à 9, ou de soulignement. Si elle constate un tel caractère, alors le programme rejette l'entrée.

Si vous autorisez seuls les caractères latins présentés ici, votre demande ne sera pas utilisable dans de nombreux marchés étrangers tels que ceux que Don # Utiliser ensembles 8242-t Anglais de caractères (comme l'arabe, le chinois, l'hébreu ou le russe, pour ne citer que quelques-uns ). Vous pourriez avoir à prendre l'approche opposée et il suffit de regarder pour les mauvais caractères.

A propos Auteur

Les types de caractères de C

Le standard carboniser variable dans C ++ est un peu large et 1 octet ne peut traiter que 255 caractères différents. Ceci est bien assez pour les langues européennes, mais pas assez grand pour manipuler les langages basés symboles tels que…

Programmation en C ++: 10 conseils anti-pirates

Comme le programmeur C, vous avez besoin d'apprendre les choses que vous devez faire dans votre code C ++ pour éviter l'écriture de programmes qui sont vulnérables aux pirates. Il y décrit également des fonctionnalités que vous pouvez activer…

Programmation en C ++: le pirate & # 8242-s motifs

Après vous # 8242-VE terminé une étude rapide de la programmation et aiguisé vos compétences C ++, vous atterrissez ce travail vraiment doux que vous étiez à la recherche de la banque. Vous # 8242-re un programmeur de grand-temps à la…

Programmation C ++: jeter des exceptions

Une fonction C ++ qui alloue les ressources localement peut avoir besoin pour intercepter une exception, faire un peu de traitement, puis réémettre vers le haut de la chaîne de la pile. Prenons l'exemple suivant:annuler fileFunc () {ofstream *…

C ++: le mécanisme d'exception

La prochaine fois que vous examinez un exemple C ++ de code, jetez un oeil de plus près les mesures que le code passe par à gérer une exception. Lorsque le jet se produit, premiers exemplaires de l'objet C jetés dans un endroit neutre. Il…

Hacking: exemple d'injection SQL dans un programme C ++

Injection de code se produit lorsque l'utilisateur attire votre programme C ++ pour exécuter un morceau de code créé par l'utilisateur. “ Quoi? Mon programme ne ferait jamais cela ”!; tu dis. Envisager le plus commun et, heureusement,…

Comment faire pour créer un tableau de caractères en C ++

Les éléments d'un tableau en C ++ peut être de tout type. Les tableaux de flotteurs, doubles, et longs sont tous possible- cependant, des tableaux de caractères ont une signification particulière.Les paroles humaines et de phrases peuvent être…

Comment faire pour créer une chaîne de caractères en C ++

Comment faire de la place pour de grandes chaînes en C ++

Le programmateur Le C est souvent nécessaire pour manipuler des chaînes de caractères larges. La bibliothèque standard C ++ inclut des fonctions pour gérer les chaînes de caractères étendus. Quelques-uns de ces fonctions sont répertoriées…

Comment manipuler des chaînes de caractère en C ++

Un tableau est une séquence de variables en C ++ qui partage le même nom et qui est référencée à l'aide d'un index. Ce qui suit Concatenate programme Entrées deux chaînes à partir du clavier et de les concaténer en une seule chaîne://…

Le tableau de caractères ascii-zéro

Les tableaux en C ++ ont un problème inhérent: Vous ne pouvez jamais savoir, juste en regardant le tableau, combien de valeurs sont en fait stockés. Connaissant la taille d'un tableau ne suffit pas. Que vous combien de valeurs indique le tableau…

Comment fonctionne la méthode java findwithinhorizon?

Sans se vautrer dans trop de détails, voici comment la findWithinHorizon (".", 0) .charAt (0) technique fonctionne: Java de findWithinHorizon méthode recherche les choses dans l'entrée. Les choses de la méthode trouve dépendent les trucs que…

Comment formater les dates en java

Java est un langage de programmation polyvalent. Si vous utilisez le toString () Procédé pour convertir un LocalDate à une chaîne, vous obtenez une chaîne telle que 31/10/2014. Que faire si vous souhaitez afficher la date dans un format…

Commandes d'entrée pour la TI-84 Plus

La Entrée et Prompt commandes de la calculatrice TI-84 Plus sont utilisés dans un programme pour solliciter des informations de l'utilisateur du programme. La Entrée commande demande à l'utilisateur la valeur d'une seule variable et permet au…

godiches.com » Ordinateurs et logiciels » Programmation » C ++ » Comment éviter l'injection de code en C ++