Door Anoniem: Door Anoniem: <quote>zonder goede validatie en sanitization</quote> Als programmeur heb ik een kanttekening: Command-injection, SQL-injection, HTML-injection zijn 3 keer hetzelfde probleem. Het probleem is dat de data niet correct wordt ge-encodeerd naar het *uitvoerformaat*. En dat zul je voor elk uitvoerformaat apart moeten doen volgens de regels van dat formaat. ...snip Oproep aan alle pentesters: schrijf in jullie rapport niet over invoervalidatie of 'gevaarlijke characters' maar gebrekkige uitvoer-encoding. Waarom zou ik een query uit laten voeren als ik input met vervelende symbolen vooraf al kan filteren en ik mezelf een query bespaar (en dus performance win, geen onnodige logfile vervuiling over me afroep, side effects per ongeluk toch mogelijk maak etc)? exact, input validation en sanitation en iets dergelijks als prepared statements. Die invoervelden hoeven niks anders te bevatten dan wat er nodig is. i.c.m. met code die ervoor zorgt dat de backend (de database server) geen extra ...