ruby-on-rails - 这里可以进行 SQL 注入吗？

Question

我在 Rails 应用程序上运行了一个静态代码分析工具（brakeman），它报告了一些我怀疑可能是误报的 SQL 注入漏洞。违规行如下所示：

#things_controller.rb

def index
  Thing.select(params[:columns]).where(params[:conditions])
end

我想不出一种方法来利用它，但它似乎相当开放，这是否足够安全（这个控制器无论如何都需要管理员访问权限）还是可以被利用？

Ruby 是 2.0.0-p247，Rails 是 4.0.0

score 1 · Accepted Answer

虽然 rails 有一些针对特殊字符的内置过滤器，但这绝对是易受攻击的：

如果您想自己测试它，请使用带有conditionsGET 参数的此操作的 url 使用 sqlmap 运行完整扫描

1 回答 1