标签: code-injection

我正在使用他们自己的文档学习 REACT JS。当我看到JSX 防止注入攻击部分时，我对这个主题感到困惑。JSX 如何防止注入攻击？\n请有人解释一下。

关于该主题的文档中的上述文本是：

\n

在 JSX 中嵌入用户输入是安全的。

\n

const title = response.potentiallyMaliciousInput;\n// This is safe:\nconst element = <h1>{title}</h1>;\n

Run Code Online (Sandbox Code Playgroud)\n

默认情况下，React DOM 在渲染 JSX 中嵌入的任何值之前都会对其进行转义。因此，它确保您永远无法注入任何未在应用程序中明确编写的\xe2\x80\x99s。所有内容在渲染之前都会转换为字符串。这有助于防止 XSS（跨站点脚本）攻击。

\n

如果我在模块中将服务声明为提供者，但没有在服务中使用 @Injectable 装饰器，会发生什么情况？

//Module
module({
controller: [catController],
provider: [catService]
})

//Service
//@Injectable()
export class catService{
}

我认为令牌将被注册但不会被使用，并且每次都会共享新实例。我对么？

我在 Xcode 11.5 和 MacOS 10.15.2 上使用InjectionIII进行代码注入。设置指南说

要使用注入，请从 App Store 下载应用程序并运行它。然后，您必须将“-Xlinker -interposable”添加到项目的调试目标的“其他链接器标志”（由模拟器 SDK 限定以避免位码的复杂性）。

我添加了如屏幕截图所示的标志，它在模拟器上运行良好，但对于设备我收到此错误。

-interposable and -bitcode_bundle (Xcode setting ENABLE_BITCODE=YES) cannot be used together

我设置标志的方式有问题，但我无法弄清楚。

我正在尝试在 ASP.NET Core 3.1 应用程序中使用 log4Net，并尝试使用控制器使其与依赖注入一起使用。我成功地能够使用 Log4Net 使用LogManager.GetLogger(type). 任何帮助，将不胜感激。

这是我现在用于日志记录的代码示例：

public class HomeController : Controller
{
    private static readonly log4net.ILog _log = LogManager.GetLogger(typeof(Logger));

    public HomeController()
    {
        _log.Debug("Test");
    }
}

给定一个具有入口点的程序集,如:

int FooClass::doFoo(int x, double y)
{
   int ret;
   // Do some foo
   return ret;
}

是否可以使用另一个程序集来模拟以下内容:

int FooClass::doFoo(int x, double y)
{
   int ret;
   TRACE_PARAM_INT(x)
   TRACE_PARAM_DOUBLE(y)
   // Do some foo
   TRACE_RETURN_INT(ret)
   return ret;
}

并且仅在存在DEBUG时启用此代码注入.如果有这样的方法,你如何加载"调试"程序集？

编辑1:#ifdef不是一个选项.说,我不想修改代码库.

编辑2:我的主要问题是"如何将代码注入已编译的程序集".我确实有基本代码,但我宁愿不在主代码中添加用于跟踪的K行,而是使用另一个程序集来执行此操作.我知道如何使用VS来调试,我想要的是添加变量的跟踪机制(除其他外).

我有一个带有以下web.xml的spring 2.5 webapp

<?xml version="1.0" encoding="UTF-8"?>
<web-app xmlns="http://java.sun.com/xml/ns/j2ee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://java.sun.com/xml/ns/j2ee http://java.sun.com/xml/ns/j2ee/web-app_2_4.xsd"
version="2.4">

<display-name>Spring BlazeDS Integration Samples</display-name>


<context-param>
    <param-name>webAppRootKey</param-name>
    <param-value>ServerBlaze</param-value>
</context-param>

<context-param>
    <param-name>contextConfigLocation</param-name>
    <param-value>
        /WEB-INF/spring/*-context.xml
    </param-value>
</context-param>

<context-param>
    <param-name>log4jConfigLocation</param-name>
    <param-value>/WEB-INF/config/log4j.xml</param-value>
</context-param>

<listener>
    <listener-class>org.springframework.web.util.Log4jConfigListener</listener-class>
</listener>

<listener>
    <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
</listener>

<listener>
    <listener-class>flex.messaging.HttpFlexSession</listener-class>
</listener>

<servlet>
    <servlet-name>serverBlaze</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <load-on-startup>1</load-on-startup>
</servlet>


<servlet-mapping>
    <servlet-name>serverBlaze</servlet-name>
    <url-pattern>/messagebroker/*</url-pattern>
</servlet-mapping>

<welcome-file-list>
    <welcome-file>index.html</welcome-file>
</welcome-file-list>

</web-app>

我宣布了这个豆子

    <bean id="mylog"
    class="org.springframework.beans.factory.config.CommonsLogFactoryBean">
    <property name="logName" value="mylog" />
</bean>

在services-context.xml中(它是一个blazeds/spring项目).

我将这种方式注入UserDAO bean:

    <bean id="user" class="com.acotel.msp.database.UserDAO" >
    <property name="mylog" ref="mylog" />
    <property name="jsonClient" ref="jsonClient" />
</bean>

这是log4j.xml配置文件:

    <?xml version="1.0" …

因为我的陈述是这样的

"SELECT * FROM `box` WHERE `thing` = '{$variable}'

我可以简单地清理它

$variable = str_replace("'","\'",$variable);
"SELECT * FROM `box` WHERE `thing` = '{$variable}'

那会有用吗？我的主机不支持mysql转义,我不使用mysqli.

可能重复:
在PHP站点中避免xss攻击的最佳做法是什么

嗨,我想知道黑客如何将这个javascript代码注入我的homepage.php

<script type="text/javascript">document.write('\u003c\u0069\u006d\u0067\u0020\u0073\u0072\u0063\u003d\u0022\u0068\u0074\u0074\u0070\u003a\u002f\u002f\u0061\.........')</script>

我怎么能阻止这个？

在将值插入SQL查询之前使用哈希值来防止sql注入,甚至不必使用mysql_real_escape_string？(假设您要为整个网站执行此操作)

编辑:具体来说,目的是从用户获取密钥并在将其与我表中的其他散列列进行比较之前对其进行哈希处理,然后检索哈希匹配的另一个列值.很抱歉没有说明

我想问一下,如果Windows允许的文件名对于SQL(Oracle和一般),JS,xml等注入是安全的.

检查并替换以下字符:/:*？"<> |(还有它们的ascii值等).长度也不能超过180个字符

在客户端(仅用于可用性)和服务器端(用于安全性)安全地进行检查

文件名保存到oracle DB,它有一个像oracle-> java-> xml-> xslt-> browser这样的流程来显示.

编辑:@Bohemian的回答指出了SQL注入的不安全部分(使用预准备语句可能会被禁止).JS或xml注入怎么样？(这可能导致XSS或通过xslt访问hdd)