Hibernate SQL Injection

Question

Я проверяю проект, и я нашел способ ввода данных в запрос. Проект использует Hibernate и этот кусок кода Session.createSqlQuery(), а затем .list()

SQL-то вроде: «SELECT * FROM tablename ORDER BY column XXXXXX»

XXXXXX может быть изменен с помощью Fiddler. Так что я попытался

SELECT * FROM tablename ORDER BY column DESC; truncate table tablename; 

К сожалению (ну только для моей попытки инъекции) это не работает, и я получаю:

У Вас есть ошибка в вашем SQL синтаксиса; проверьте руководство, которое соответствует версии сервера MySQL для правильного синтаксиса, чтобы использовать рядом с «усечение таблицы имя_таблицы»

Мой вопрос, так как они используют createSQLQuery, они безопасны от инъекции. Если это не так, не могли бы вы привести мне пример, чтобы подчеркнуть эту проблему.

Я попытался с помощью% 08 (Backspace характер), думая, я бы смог удалить предыдущие символы запроса, например (он не работает;))

Спасибо.

---

После некоторых исследований я, кажется, не будет иметь возможность изменять данные с этой дырой в безопасности, однако использование ORDER BY (CASE WHEN ...) позволит «сканировать» таблицы и данные.

Answer 1

Это имя столбца указано с помощью параметризованного оператора или вы просто конкатенируете текст?

например: в Perl :: DBI, драйверы поддерживают следующий синтаксис:

$dbh->do("SELECt * FROM asdf ORDER BY ?", undef, $order_by); 

В? существует форма параметризованного оператора, который санирует вход автоматически.