Какая-то подозрительная капча
Подробнее
*lmage verification : Enter the following: V drop veers', Your Answer 801VS media IfI*I?I
капча,CAPTCHA,captcha,sql,программирование
Еще на тему
captcha sql программирование 
Подробнее
*lmage verification : Enter the following: V drop veers', Your Answer 801VS media IfI*I?I
капча,CAPTCHA,captcha,sql,программирование
Подробнее
*lmage verification : Enter the following: V drop veers', Your Answer 801VS media IfI*I?I
капча,CAPTCHA,captcha,sql,программирование
![[2]<div> <div> [2]<div>](http://img0.joyreactor.cc/pics/thumbnail/post-2335142.jpg "[2]<div> <div> [2]<div>")
Даже интегралы и китайские иероглифы не такое зло.
Базы данных затрагивал лишь поверхностно, так что могу ошибаться. Но если прав, то не обделите одноместной шлюпкой.
Да и из того, что я знаю о распознавании номеров - там не только буквы распознаются но и сам формат номера: форма, размеры, отражающие свойства - иначе бы грязные, пыльные номера не считывались бы. А по изменению размера изображения номера замеряется скорость автомобиля - ну по законам перспективы: чем дальше объект, тем он меньше, чем ближе, тем он больше, знаю разницу в размерах - можно узнать расстояние, время между кадрами известно - вот тебе и скоростью, делаем еще пару кадров и высчитываем ускорение: тормозит или разгоняется. Опять же по номеру определяется пересечение СТОП лини. Так что вся эта система - это не просто распознавание текстов, а именно распознавание номеров, а иногда, более современные системы, таких мало, но на некоторых перекрестках вроде устанавливаются - могут всю картину распознать: там пешеходов увидеть, сигнал светофора, разметку дороги и т.д.
камера не дропает - она просто возвращает результат. хитрость в том, чтобы вернуть этот результат в обработчик базы в случае нарушения. задача - нарушить, чтобы значение номер было передано в базу нарушителей. вопрос лишь в том - есть ли правила распознавания номера
И еще раз говорю. Чтобы записать что-тов базу, вместе с запросом, передается и параметр авторизации в базе и если блин, каждый обработчик имеет права админа и из-за любого бага в коде обработчика можно похерить всю базу.
А про газеты я к тому и написал, что формат разный и то что у номера свой формат и именно его надо распознавать, а не любую строку букв и цифр с похожим шрифтом.
Когда система распознаёт номер, она отправляет его внутри запроса к базе данных. Что примечательно, запрос этот - просто строка текста, которая говорит, что сделать с данными, что-то вида INSERT INTO numbers (number) VALUES ('ZU 0666'); Как видно, строка с номером машины в кавычках. Если вставить кавычку в номер машины, а потом поместить это в запрос, автоматика подумает, что кавычка закрылась чуть раньше, а затем пошли какие-то команды из запроса. Gunrogan отлично объяснил, какие последствия будут в нашем случае.
Здесь почти полная аналогия со следующим анекдотом:
- Как переводится "I don't know"?
- Я не знаю.
- Бляя-я-яя, никто не знает!
В итоге, имея специально подготовленную строку, можно выполнить незапланированную разработчиком команду. Это SQL-инъекция.
Но не всё так страшно, с SQL-инъекциями можно (и нужно) бороться.
Алгоритм, после считывания номера (вообще чего угодно, тех же штрих кодов) всегда фильтрует результат, перед тем, как заносить его в базу.
Зафиксированный номер никак не может очистить бд, хотя бы потому, что обработчик имеет только права записи.
Он (обработчик, который считывает номера и заполняет бд) не имеет прав на перезапись и даже на чтение - это было бы самой глупой уязвимостью и утечкой.
> в худшем, распознает её как грязь и будет штраф (офк это в идеальном мире
В реальном мире там небось сидят мужики и смотрят на картинки, где вроде бы и номер, но ничего не распозналось. По крайней мере, не верится, что можно достоверно распознать, что это грязь, а не блик или шум.
это каким же овощем нужно быть, чтобы подставлять параметры запроса конкатенацией строк? а если нет выбора то нужно "экранировать" - этому, нынче, в любом институте учат!
гарантируешь? ;-)
з.ы. нет, я, конечно, могу предположить что препод искренне считал это само собой разумеющимся, но факт в том, что студенты об этом узнавали не от него (слава яййцам - уже был более-менее знаком с темой :-) )