Взлом слона по частям. Как мы нашли SQL-инъекцию с нулевым байтом в PDO
Хакер ·
Для подписчиков Каждый разработчик на PHP, и не только, знает мантру: «Экранируй входные данные, и SQL-инъекции тебе не страшны». Пропустить параметр через штатную функцию экранирования, заключить результат в кавычки, собрать SQL-запрос и отправить его в базу данных — классический прием, которому разработчики доверяют уже много лет.