Выбор ответа Middle Тестирование веба обновлено
Признак SQL-инъекции
Вопрос
Тестировщик ввёл в поиск символ ' (одинарную кавычку). Что из этого подозрительно и стоит завести как дефект безопасности?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Ответ 500 и текст ошибки базы с фрагментом SQL. Ошибка базы с куском запроса означает, что ввод попал в SQL без параметризации, и это классический признак инъекции.
Варианты ответа
- Поиск ничего не нашёл и показал пустую страницу
- Ответ 500 и текст ошибки базы с фрагментом SQLправильный ответ
- Поиск нашёл товары с апострофом в названии
- Подсказка «Ничего не найдено, проверьте запрос»
Разбор
Ошибка базы с куском запроса означает, что ввод попал в SQL без параметризации, и это классический признак инъекции. Плюс утечка деталей устройства системы. Пустой результат, найденные товары с апострофом и вежливая подсказка это нормальное поведение. Дальше такие находки передают специалисту по безопасности, а не раскручивают самостоятельно на проде.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.