资讯频道 → 编程语言
阅读更多

0顶
0踩

编程语言

原创新闻 Ruby on Rails爆SQL注入漏洞，影响所有版本

2013-01-04 16:42 by 副主编 wangguo 评论(1) 有5941人浏览
rails ruby 漏洞 SQL注入

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

近日，Ruby on Rails的Active Record模块被爆出存在一个SQL注入漏洞（CVE-2012-5664），所有版本均受到影响。

描述

鉴于Active Record中动态查找器从方法参数中提取选项的方式，导致方法参数可能会被错误地当成作用域来使用。攻击者可以通过发起特定的请求，利用作用域来注入任意SQL。

受影响的代码会将用户提供的数据传递到动态查找器，例如：Post.find_by_id(params[:id])

可以通过将参数明确转换到预期的值来暂时缓解该问题，比如：将  Post.find_by_id(params[:id])  更改为 Post.find_by_id(params[:id].to_s) 。但无法从根本上解决问题，建议所有Rails用户尽快升级至如下版本：

详细漏洞信息：Rails SQL injection vulnerability

Via Google Groups
0
顶
0
踩
评论 共 1 条 请登录后发表评论
1 楼 lliiqiang 2014-09-03 15:02
将权限和功能固定在制定范围之内.

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • Ruby On Rails代码执行漏洞(CVE-2020-8163)技术分析与研判防护

    RubyonRails5.0.1之前版本存在代码注入漏洞。远程攻击者可利用该漏洞发送特制请求执行任意代码。参考https//github.com/QianliZLP/CVE-2020-8163-即可。RubyonRails是Rails团队的一套基于Ruby语言的开源Web应用框架...

  • zen-rails-security-checklist：Ruby on Rails应用程序的安全预防措施清单

    Zen Rails安全清单概要本文档提供了开发Ruby on Rails应用程序时要实施的安全措施的不一定全面的列表。 它旨在用作快速参考，并最大程度地减少开发人员健忘造成的漏洞。 它并不能替代开发人员有关安全编码原则以及...

  • Rails 3爆SQL注入漏洞

    Ruby on Rails近日爆出了一个关键的漏洞，该漏洞允许攻击者在数据库服务器上执行SQL命令，比如，攻击者可以发起SQL注入攻击来读取未经授权的机密信息。目前该漏洞已修复，可通过文章最后的链接下载修复版本。这是...

  • 【Ruby on Rails】2021 OWASP TOP 10 的安全加固建议

    本文讲讲 2021 版 OWASP TOP 10 在 Rails 项目中的优化加固方案。

  • Ruby On Rails--Active Record Query Interface（数据库查询）

    Active Record will perform queries on the database for you and is compatible with most database systems (MySQL, PostgreSQL and SQLite to name a few). Active Record Query Interface知识总览官方文档从...

  • 漏洞分析丨看我如何发现Github企业版程序SQL注入漏洞并获得5000美刀赏金

    文章有些长，认真阅读本文大概需要20分钟。简单看看，只需一分钟。 GitHub企业版软件是专供公司团体用来部署在内网进行开发服务的商业性应用程序。...通过下载其试用版本软件进行分析，我花了一周时间，发现了

  • Rails框架再爆严重安全漏洞

    Ruby on Rails近日被发现了两个新的安全漏洞。 1.CVE-2013-0156 该漏洞存在于Action Pack模块的参数解析代码中，允许攻击者绕过认证系统，注入并执行任意SQL代码，或...

  • SQL注入式攻击

    <!-- .ke-icon-code {width:16px; height:16px} ...所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的

  • Rails存在安全问题：数月前发现的漏洞正被利用

    Ruby-On-Rails网站的用户和管理员发现他们正面临着恶意软件的攻击，该攻击利用了今年1月公布的一项Ruby安全漏洞。该漏洞一旦被利用，未打补丁的系统会直接从远程计算机上下载特定代码，编译一份IRC客户端，然后加入...

  • Http基础二 Web安全简介 SQL注入 XSS CSRF(token)

    参考Web安全之SQL注入攻击技巧与防范总结 XSS 与 CSRF 两种跨站攻击CSRF的攻击与防御CSRF 攻击的应对之道 一、SQL注入 用Web网站中常用的会员登录系统来做一个场景实例。如果输入正确的用户名 plhwin 和密码 ...

  • Ruby安全漫谈

    随着Ruby越来越流行，Ruby相关的安全问题也逐渐暴露，目前，国内专门介绍Ruby安全的文章较少，本文结合笔者所了解的Ruby安全知识点以及挖掘到的Ruby相关漏洞进行描述，希望能给读者在Ruby代码审计上提供帮助。...

  • java 参数化sql_sql server - 参数化SQL IN子句

    SELECT * FROM TagsWHERE Name IN ('ruby','rails','scruffy','rubyonrails')ORDER BY Count DESC在此查询中，参数的数量可以是1到5之间的任何值。我不想为此(或XML)使用专用存储过程，但如果有一些特定于SQ...

  • 参数化SQL IN子句

    我该如何参数化包含一个带有可变数量参数的IN子句的查询，就像这样？ SELECT * FROM Tags WHERE Name IN ('ruby','rails','scruffy','ru

  • PHP的webshell免杀

    我们可以通过我们自定义的函数方式，搭配php的版本和可替换函数绕过WAF的拦截，达到免杀的目的！...它通常可以保护 Web 应用程序，使其免受跨站点伪造跨站点脚本 (XSS)、文件包含、SQL 注入及其他一些攻击的影响。

  • 易在开发中忽略的rails安全问题

    有些安全问题在rails的开发中会被忽略的，比如rails在创建或者更新一个model的时候，支持一种mass-assignment的赋值方式，比如在controller中，创建一个user model记录 代码1： [code="ruby"] @user=...

  • SQL如何工作的，SQL 注入攻击原理完整指南！

    SQL 注入是一种漏洞，它允许恶意用户以意想不到的方式访问数据库

  • 从0到1 CTFer成功之路》任意文件读取漏洞---学习笔记

    1.3 任意文件读取漏洞 所谓文件读取漏洞，就是攻击者通过一些手段可以读取服务器上开发者不允许读到的文件。从整个攻击过程来看，它常常作为资产信息搜集的一种强力的补充手段，服务器的各种配置文件、文件形式存储...

  • 基于STC32单片机内部RTC的学习计时器+全部资料+详细文档（高分项目）.zip

    【资源说明】 基于STC32单片机内部RTC的学习计时器+全部资料+详细文档（高分项目）.zip基于STC32单片机内部RTC的学习计时器+全部资料+详细文档（高分项目）.zip 【备注】 1、该项目是个人高分项目源码，已获导师指导认可通过，答辩评审分达到95分 2、该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的，请放心下载使用！ 3、本项目适合计算机相关专业(人工智能、通信工程、自动化、电子信息、物联网等)的在校学生、老师或者企业员工下载使用，也可作为毕业设计、课程设计、作业、项目初期立项演示等，当然也适合小白学习进阶。 4、如果基础还行，可以在此代码基础上进行修改，以实现其他功能，也可直接用于毕设、课设、作业等。 欢迎下载，沟通交流，互相学习，共同进步！

  • 2023新型智慧城市智慧交通专项设计方案[498页Word].docx

    2023新型智慧城市智慧交通专项设计方案[498页Word].docx

  • QT开发的概要介绍与分析

    QT开发资源描述 QT是一款功能强大的跨平台应用程序和用户界面开发框架，广泛应用于各种软件项目的开发中。QT提供了丰富的库和工具，使得开发者能够高效地创建出具有专业外观和优秀用户体验的应用程序。 QT开发资源涵盖了从界面设计到后台逻辑实现的全流程。在界面设计方面，QT提供了强大的Qt Designer工具，支持拖拽式布局和丰富的控件库，使得开发者能够直观地设计复杂的用户界面。同时，QT还支持样式表（QSS）和自定义绘图，让界面更加美观和个性化。 在后台逻辑实现方面，QT提供了完整的C++ API，支持多线程、网络编程、数据库访问等功能。开发者可以利用QT的类库和框架，快速实现各种复杂的功能模块。此外，QT还提供了丰富的文档和社区支持，使得开发者在遇到问题时能够迅速找到解决方案。 QT的跨平台特性是其最大的优势之一。开发者只需编写一次代码，就可以在不同的操作系统和平台上运行应用程序。这使得QT成为开发跨平台桌面应用、移动应用和嵌入式系统的理想选择。 总之，QT开发资源为开发者提供了一套完整、高效、易用的开发工具链。通过利用QT提供的丰富资源和强大功能，开发者可以快速构建出高质量

Global site tag (gtag.js) - Google Analytics