决策报表sql注入怎么造成的

image.png

补充:

就写了一个js:js没有调用数据库的地方

_g().parameterEl.getWidgetByName('p_dateEditor0').setValue(a);

_g().parameterEl.getWidgetByName('p_dateEditor1').setValue(b);

_g().parameterEl.getWidgetByName('p_numberEditor0').setValue(2);

var c = _g().parameterEl.getWidgetByName('p_cx_bz').getValue();

_g().parameterEl.getWidgetByName('p_cx').setValue(c);

var c = _g().parameterEl.getWidgetByName('p_gys_bz').getValue();

_g().parameterEl.getWidgetByName('p_gys').setValue(c);

sql有好几个:但基本差不多,就是查的东西不一样,复制一个

SELECT 

   top 5 *

   from (

    select

        COMPNO,

        sum(BQTZL) as zl,

        sum(BQTHSHZ) as hs

    from

        dbo.ZNMS_JIT_Z2_FXHZ_MBS            

    WHERE BQTZL != ''

      and Z1STMP in (SELECT  Z1STMP

     FROM dbo.ZNMS_JIT_Z2_FXHZ_MBS

    WHERE DATEPART(DW,Z1STMP)=2)       

         ${if(p_checkBox0="true",       "and COMPNO not in (SELECT MATERIAL FROM dbo.ZNMS_JIT_PCH

                          WHERE VALID IS NULL

                            AND SUPPLIER IS NULL 

                            AND MATERIAL IS NOT NULL)

      and LIFNR  not in (SELECT SUPPLIER FROM dbo.ZNMS_JIT_PCH

                          WHERE VALID IS NULL 

                            AND MATERIAL IS NULL

                            AND SUPPLIER IS NOT NULL)   

      and not EXISTS (select 1 from dbo.ZNMS_JIT_PCH

                      where VALID IS NULL

                        and supplier =dbo.ZNMS_JIT_Z2_FXHZ_MBS.lifnr 

                        and MATERIAL=dbo.ZNMS_JIT_Z2_FXHZ_MBS.compno)","")}     

          ${if(len(p_cx)==0,"","and MATKL in ( '"+p_cx+"' )")}  

          ${if(len(p_gys)==0,"","and LIFNR in ( '"+p_gys+"' )")}           

          ${if(len(p_dateEditor0)==0,"","and Z1MON >= '"+p_dateEditor0+"'")}   

          ${if(len(p_dateEditor1)==0,"","and Z1MON <= '"+p_dateEditor1+"'")}

          and RGMON<= REPLACE(CONVERT(varchar(7), dateadd(month,${p_numberEditor0},Z1MON+'01'), 120),'-','')    

     group by

        COMPNO ) t1

    ORDER BY  t1.zl DESC

原材料齐套分析_月 供应商.rar

FineReport 狂奔的小蜗牛 发布于 2022-12-12 11:10 (编辑于 2022-12-13 16:45)
1min目标场景问卷 立即参与
回答问题
悬赏:3 F币 + 添加悬赏
提示:增加悬赏、完善问题、追问等操作,可使您的问题被置顶,并向所有关注者发送通知
共2回答
最佳回答
0
Z4u3z1Lv6专家互助
发布于2022-12-12 11:11
  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 可以我就一个表这个样,其他没事啊,这样设置了没问题吧
    2022-12-12 11:15 
  • Z4u3z1 Z4u3z1 回复 狂奔的小蜗牛(提问者) 你的SQL里面肯定拼接了里面罗列的关键字
    2022-12-12 11:18 
  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 回复 Z4u3z1 大佬,什么关键字会影响呢,我查的都是select这种的,应该没问题吧
    2022-12-13 08:40 
  • Z4u3z1 Z4u3z1 回复 狂奔的小蜗牛(提问者) 直接上传原始模板吧,帮你看看
    2022-12-13 10:57 
  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 回复 Z4u3z1 我这导不出来啊,不知道是不是数据库的原因,他这导出总失败,能远程看看嘛,看不了的话就这样吧
    2022-12-13 16:36 
最佳回答
0
snrtuemcLv8专家互助
发布于2022-12-12 11:11

这边设置的,你可以修改

image.png

  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 可以我就一个表这个样,其他没事啊,这样设置了没问题吧
    2022-12-12 11:16 
  • snrtuemc snrtuemc 回复 狂奔的小蜗牛(提问者) 那就是你这各模板,有里面指定的关键字,检查下吧
    2022-12-12 11:16 
  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 回复 snrtuemc 大佬,什么关键字会影响呢,我查的都是select这种的,应该没问题吧
    2022-12-13 08:40 
  • snrtuemc snrtuemc 回复 狂奔的小蜗牛(提问者) 检查你是不是有js调用查询数据库,导致被拦截,可以的话,上下模板,我们看下
    2022-12-13 08:42 
  • 狂奔的小蜗牛 狂奔的小蜗牛(提问者) 回复 snrtuemc 我这导不出来啊,不知道是不是数据库的原因,他这导出总失败,能远程看看嘛,看不了的话就这样吧
    2022-12-13 16:36 
  • 2关注人数
  • 283浏览人数
  • 最后回答于:2022-12-13 16:45
    请选择关闭问题的原因
    确定 取消
    返回顶部