Adresses e-mail valides - Injection XSS et SQL

Question

Étant donné qu'il y a tant de caractères valides pour les adresses e-mail, y a-t-il des adresses e-mail valides qui peuvent être des attaques XSS ou des injections SQL? Je n'ai trouvé aucune information à ce sujet sur le web.

La partie locale de l'adresse e-mail peut utiliser ces caractères ASCII:

• Majuscules et anglais minuscules (a-z, A-Z)
• Digits 0 à 9
• Caractères! # $% & '* + -/=?^_ `{| } ~
• Caractère. (point, point, point) à condition que ce ne soit pas le dernier caractère et à condition qu'il n'apparaisse pas deux fois ou plus de fois de suite (par exemple John..Doe @ example.com).

http://en.wikipedia.org/wiki/E-mail_address#RFC_specification

Je ne demande pas comment empêcher ces attaques (je suis déjà en utilisant des requêtes paramétrées et échapper/purificateur HTML), ce qui est plus une preuve de concept.

La première chose qui est venue à l'esprit était 'OR 1=1--@gmail.com, sauf que les espaces ne sont pas autorisés. Toutes les injections SQL nécessitent-elles des espaces?

Answer 1

Les espaces sont autorisés, si toutefois, ils sont entre guillemets, donc "'OR 1=1--"@gmail.com est une adresse e-mail valide. En outre, il est probablement moins d'inquiétude, mais techniquement parlant, ce sont les deux adresses e-mail valides:

' BAD SQL STUFF -- <fake@ryanbrunner.com> 
fake@ryanbrunner.com (' BAD SQL STUFF --) 

Même si cela n'a pas été possible, il n'y a toujours pas de raison que vous ne devriez pas utiliser les requêtes paramaterized et coder toutes les données entrées par l'utilisateur affichées aux utilisateurs.

Answer 2

/^[a-z0-9.-_+]@[a-z0-9.-]$/i 

Je pense que des matches comme 99,9999% de tous les emails adresses;)