久久久久国色AⅤ免费看,日韩精品一二三区,久久A久久综合精品,人人九九精品视频



    

    4. 



      
  
      
    
    
  
      

      


      
  

      
  
  
      
    
      
      
      
        
      
      
      
      
      
        
      監(jiān)理、測試及咨詢服務(wù)
      
        
      0512-62620800-1
      
      
      
      
      
        
      評估測試服務(wù)(登記測試)
      
        
      0512-62620800-737
      
      
      
      
      
        
      IT綜合服務(wù)
      
        
      0512-62620800-701
      
      
      
    
      
  
      

      
  
      
    
    
      
      
      Rails 爆 SQL 注入漏洞，3.x 所有版本受影響
      
      
      發(fā)布時間：2012.06.13
      
      
      
        Ruby on Rails近日爆出了一個關(guān)鍵的漏洞，該漏洞允許攻擊者在數(shù)據(jù)庫服務(wù)器上執(zhí)行SQL命令，比如，攻擊者可以發(fā)起SQL注入攻擊來讀取未經(jīng)授權(quán)的機密信息。目前該漏洞已修復(fù)，可通過文章最后的鏈接下載修復(fù)版本。 
      這是由于ActiveRecord處理嵌套查詢參數(shù)的方式所致，攻擊者可以使用特定的請求，向應(yīng)用程序的SQL查詢中注入某些形式的SQL語句。 

      比如，受影響的代碼可以直接傳遞請求參數(shù)到ActiveRecord類中的where方法，如下： 
      Ruby代碼 
      1. Post.where(:id => params[:id]).all   

      攻擊者可以發(fā)起一個請求，導致params[:id]返回一個特定的哈希值，從而使WHERE從句可以查詢?nèi)我鈹?shù)據(jù)表。 

      受影響的版本：3.0.0及之后的所有版本 

      未受影響的版本：2.3.14 

      修復(fù)版本下載：