Обязательно передам разработчикам RedAge, пример брался из других SQL запросов.
Моя основа JS. C# сложный.
Если есть возможность подредактируй код для других пользователей RedAge мода.
Последнее редактирование:
Обязательно передам разработчикам RedAge, пример брался из других SQL запросов.
Не понял, зачем было язвить с "передам разработчикам RedAge", те разработчики, которые писали мод, который был слит - давно на RA не работают. Один на Alt:V уже как 2 года запуститься не может, а второй сейчас на Onyx RP работает. То, что в 2019 об этом они не знали - это их косяк, а не текущих разработчиков RA. На данный момент в моде RA уже давным-давно во всех запросах есть защита от SQL инъекции.
private void BizPayments(string play)
{
try
{
{
double money = 0;
MySqlCommand cmd = new MySqlCommand();
cmd.CommandText = "SELECT * FROM `businesses` WHERE `owner`=@var0";
cmd.Parameters.AddWithValue("@val0", play);
DataTable res2 = MySQL.QueryRead(cmd);
if (res2 == null || res2.Rows.Count == 0)
{
Log.Write("Резов нет пиздец!2", nLog.Type.Warn);
return;
}
foreach (DataRow Row in res2.Rows)
{
int cash = Convert.ToInt32(Row["sellprice"]);
money = cash / 100 * 2;// тут мы ставим процент
Log.Write("Кеш " + money, nLog.Type.Success);
BizPayments2(play, money);
}
}
}
catch (Exception e) { Log.Write("EXCEPTION AT \"CMD\":\n" + e.ToString(), nLog.Type.Error); }
}
public void BizPayments2(string play, int money)
{
try
{
Log.Write(play + " " + money);
if (!play.Contains('_')) return;
string[] split = play.Split('_');
List<Player> players = NAPI.Pools.GetAllPlayers();
MySqlCommand cmd;
if (players.Count != 0)
{
foreach (Player p in players)
{
if (p != null && p.Name == play)
{
int iz = Convert.ToInt32(Main.Players[p].Money);
if (money + iz >= 200000000) return;
Log.Write("Игрок онлайн плеерКеш " + money, nLog.Type.Success);
MoneySystem.Wallet.Change(p, money);
return;
}
}
Log.Write("Так-же " + split[0] + " " + split[1] + " " + money, nLog.Type.Success);
cmd = new MySqlCommand;
cmd.CommandText = "UPDATE characters SET money=money+@val0 WHERE firstname=@val1 AND lastname=@val2";
cmd.Parameters.AddWithValue("@val0", money);
cmd.Parameters.AddWithValue("@val1", split[0]);
cmd.Parameters.AddWithValue("@val2", split[1]);
MySQL.Query(cmd);
return;
}
else
{
Log.Write("Так-же " + split[0] + " " + split[1] + " " + money, nLog.Type.Success);
cmd = new MySqlCommand;
cmd.CommandText = "UPDATE characters SET money=money+@val0 WHERE firstname=@val1 AND lastname=@val2";
cmd.Parameters.AddWithValue("@val0", money);
cmd.Parameters.AddWithValue("@val1", split[0]);
cmd.Parameters.AddWithValue("@val2", split[1]);
MySQL.Query(cmd);
return;
}
}
catch (Exception e) { Log.Write("EXCEPTION AT \"CMD\":\n" + e.ToString(), nLog.Type.Error); }
}Весь слитый мод RedAge состоит из таких запросов, за исключением некоторых моментов сохранения большой информации в базу.
kekW, то чувство, когда протягиваешь руку, а её кусают по локоть.
Давай прочитаем еще раз...
Камень, натуральный камень. То, что на серверах играет 0 человек (или 2 твоих ближайших друга) и никто не пытается вникнуть в вопрос SQL Инъекций - это не значит, что проблемы нет. Успехов, повторюсь. Лучший разработчик месяца в твоём лице.
Ну блин... Окей, я супер натуральный камень.
Так в каком случае это опасно? Как происходит инъекция?
Имея на руках слитые исходники самого RA и систем от него можно проанализировать код и найты "слабые места" с их помощью получится воспроизвести инъекцию.
Хорошо, тут мы видим ситуацию прихода информации с клиента. Но я же делаю Select в уже существующей таблице, и отправляю информацию в следующие евенты.
Не думаю, что вас забанили в гугле или яндексе. Там вы можете найти все по этой теме
Я не шарю особо в редаговском моде, поэтому объясню в общем виде. Если у тебя происходят прямые запросы к БД (что-то типа SELECT * FROM users WHERE id = $id), при этом переменная &id заполняется из данных, введенных пользователем в текстовое поле, и эти данные не подготавливаются, то ничто мне не мешает написать в текстовом поле «-1 UNION SELECT login, password FROM users WHERE id = 1”. В результате выполнится запрос, и я получу данные пользователя с id 1. Количество колонок в таблице, и остальные данные также подбираются через инъекции. Это очень простейший пример с просторов интернета, но ты должен представить себе, какие могут быть последствия. Ведь я могу через sql записать файл на сервер со своим скриптом, например.
Крч мы пришли к тому, что мой код не должен быть экранирован, и это вполне безопасный EVENT.
Клиент с помощью софта может вызвать "RemoteEvent", а в данном случае его нет, в чем проблема?
Причём тут задушить вообще? Люди обратили внимание на потенциальную уязвимость. Даже харланд, который очень много работал с данным модом, подтвердил, что уязвимости такого плана имеются, и лучше так не делать. Ты же пытаешься сейчас убедить в первую очередь сам себя, что всё окей. Не вопрос, делай как считаешь нужным, но не задавай тогда глупых вопросов, и не пытайся никого убедить в своей правоте. Так и скажи, мол, я считаю, что sql инъекция в rage mp невозможна, и не собираюсь подготавливать данные для запросов. А то, по твоим словам получается, что мы тут все дурачки собрались.
We use cookies and similar technologies for the following purposes:
Do you accept cookies and these technologies?
We use cookies and similar technologies for the following purposes:
Do you accept cookies and these technologies?