O le a le tui o SQL?

O le aofai o nofoaga ma itulau i luga o le o loo tuputupu ae pea web. Aveesea mo le atinae o latou uma oe mafaia. Ma developers Uepi novice masani ona faaaoga code saogalemu ma e matutua. Ma faatupuina ai le tele o loopholes solitulafono ma hackers. Nai lo i latou. O se tasi o vaivaiga sili ona masani - SQL-tui.

O se vaega itiiti o le teori

E toatele tagata e iloa o le tele o nofoaga ma auaunaga i le fesootaiga o loo e faaaogaina le teuina faamaumauga SQL. o se lenei gagana fesili fuafuaina e mafai ai ona pulea ma faafoe le teuina o faamatalaga. E tele lomiga eseese o le nofoaga autu o faamatalaga faiga tau pulega faamaumauga - Oracle, MySQL, Postgre. E tusa lava po o le igoa ma le ituaiga, latou faaaogaina le faamatalaga lava fesili. O iinei o loo i le faatamaia gofie gafatia. Afai o le atinae ua lē mafai ona taulimaina lelei ma mau le talosaga, o se attacker mafai ona faaaoga lenei ma faaaoga auala faapitoa ina ia maua le avanoa i le nofoaga autu o faamatalaga, ona - ma i le pulea o nofoaga uma.

Ina ia aloese mai ia tulaga, e tatau ona e optimize lelei le code ma mataitu lelei i se faiga o lo o faagasolo ai se talosaga.

Siaki mo SQL-tui

Ina ia faatuina i le afioaga o se vaivaiga i le fesootaiga ua i ai se mamafa o maea faiga polokalama otometi. Ae e mafai ona tauaveina se siaki faigofie manually. Ina ia faia lenei mea, o atu i se tasi o nofoaga o tofotofoga ma i le pa lauga i taumafai e faia se mea sese nofoaga autu o faamatalaga. Mo se faataitaiga, o se faamatalaga i luga o le mafai ona taulimaina le nofoaga o le talosaga ma e le ta i latou.

Mo se faataitaiga, ei ai nekiy_sayt / index.php? ID = 25

O le auala aupito faigofie - e tuu 25 ina ua mavae le upusii ma auina atu le talosaga. Afai e leai se mea sese na tupu, pe i luga o le nofoaga ma faamama talosaga uma ua taulimaina saʻo, po o ua le atoatoa i le tulaga o lo latou galuega faatino. Afai ua reloaded se itulau i le faafitauli, lea o le vaivaiga i SQL-tui o.

Ina ua uma sa ia iloa ai, e mafai ona e taumafai e aveesea ai.

Ina ia faatinoina lenei manaomia vaivaiga ina ia iloa se mea itiiti e uiga au SQL-faafesili. O se tasi o latou - UNION. E aumaia faatasi taunuuga ni fesili i se tasi. Lea e mafai ona tatou fuafua le aofaiga o fanua i le laulau. FAATAITAIGA fesili muamua o le:

• nekiy_sayt / index.php? ID = 25 UNION Filifili 1.

I le tele o tulaga, e tatau ona faatupuina ai se mea sese lenei talafaamaumau. O lona uiga o le aofai o fanua e le tutusa ma 1. O lea, le filifilia o le filifiliga o le 1 po o le sili atu, e mafai ona amatalia a latou numera tonu:

• nekiy_sayt / index.php? ID = 25 UNION Filifili 1,2,3,4,5,6.

O lona uiga, o le a toe afio mai le mea sese, o lona uiga o le aofai o fanua e mate.

O loo i ai foi se fofo isi i lenei faafitauli. Mo se faataitaiga, pe afai o se vaega tele o fanua - 30, 60 po o le 100. O lenei poloaiga VAEGA E. O vaega o le taunuuga o se fesili i luga o so o se mafuaaga, mo ID faataitaiga:

• nekiy_sayt / index.php? ID = 25 VAEGA E 5.

Afai e le i mauaina le mea sese, lea o le fanua e sili atu nai lo 5. O lea, suia filifiliga mai se vaega lautele tonu, e mafai ona fuafua le tele o le latou moni.

O lenei faataitaiga SQL-tui - mo amataina oe mananao e taumafai i latou lava i le tofotofoina o lona nofoaga. E taua le manatua o le faatagaina le avanoa i se isi mataupu o loo maua o le Tulafono Laititi o Solitulafono.

O le ituaiga autu o tui

Faatino vaivaiga e SQL-tui i le tele o embodiments. Sosoo ai o le auala sili ona lauiloa:

• O le UNION o le fesili le SQL tui. A faigofie faataitaiga o lenei ituaiga ua uma ona suesueina i luga. E iloa ona o se mea sese i le siakiina faamatalaga fafati, e le o filtered.

• tui SQL e faavae i le mea sese. E pei ona faaalia le igoa, faaaogaina foi lenei ituaiga o se mea sese, le auina atu o faamatalaga e aofia syntactically sese. Ona leai lea o le interception o le headers tali, iloiloina lea e le mafai ona tauaveina mulimuli ane SQL-tui.

• Stacked faafesili i le SQL tui. Lenei vaivaiga ua fuafuaina e faatinoina talosaga sosoo. E faamatalaina ai e le gata i le faaiuga o le faailoga ";". O lenei auala e masani lava ona faatinoina e maua ai le faatinoga o le faitau ma tusitusi faamatalaga po o faagaoioia galuega tauave faiga, pe afai e faatagaina ai avanoa.

Polokalama faakomepiuta mo le sailia SQL-vaivaiga

E i ai mo SQL-tui, ia e masani lava ona le polokalama o le vaega e lua - o se nofoaga e faitau vave mo vaivaiga mafai ma faaaoga i latou e maua le avanoa i faamatalaga. E i ai nisi meafaigaluega mo le toeitiiti iloa uma fausaga opea. faafaigofieina tele latou functionality siakiina website e taʻe lou SQL-tui.

Sqlmap

scanner ese le mamana e galulue ma sili ona utufaamatalaga faaeletonika. E lagolagoina e auala eseese o faatinoga o SQL-tui. O loo i ai le tomai e otometi lava ona iloa le ituaiga o upu faataga asa le faapapaina ma lomifefiloi. Uta i totonu faila ai ma e faaaogaina ma download mai se faigaluega.

Faapipiiina i Linux o loo faatinoina le faaaogaina o le poloaiga:

• git clone https://github.com/sqlmapproject/sqlmap.git sqlmap-Dev,
• cdsqlmap-Dev /,
• ./sqlmap.py --wizard.

Mo Pupuni o loo avanoa e pei o se filifiliga ma le poloaiga laina ma Ofisa o tagata e faaaogāina graphical.

jSQL tui

jSQL tui - o se meafaigaluega tulaga-satauro mo suesuega i le faaaogaina o vaivaiga SQL. Tusia i Java, o lea e tatau ona faapipiiina le faiga JRE. Mafai ona taulimaina MAUA talosaga, meli, header, kuki. O loo i ai se Ofisa o graphical talafeagai.

Le faapipiiina o lenei pusa polokalama e faapea:

wget https://github.com/`curl -s https: //github.com/ron190/jsql-injection/releases | grep-E -o '/ron190/jsql-injection/releases/download/v[0-9]{1,2}.[0-9]{1,2}/jsql-injection-v[0-9] . {1,2} [0-9] {1,2} .jar '| ulu-n 1`

Faalauiloaina e ala i le faaaogaina o le java poloaiga -jar ./jsql-injection-v*.jar

Ina ia amata le nofoaga o le suega i le SQL-vaivaiga, e tatau ona e ulu atu i le tuatusi i le fanua pito i luga. O i latou o ese ai mo maua ma faapipii. Faatasi ai ma se taunuuga lelei, o le a foliga mai lisi o laulau o loo maua i le faamalama tuua. E mafai ona e maimoa ai i latou ma aoao ai nisi o faamatalaga e le faalauaiteleina.

tab «Admin itulau» faaaogaina e maua ai le panels pulega. I ai e ala i templates faapitoa otometi suʻesuʻe o loo tusia ai le faiga o tagata e faaaogāina faamanuiaina. Mai ia i latou e mafai ona e maua ai na o se asa o le upu faataga. Ae ua ia te ia i le pusa o meafaigaluega o le polokalama.

Ina ua uma le sailia uma le vaivaiga ma tui suesuega tatau ai, o le a mafai ai e le tagata faigaluega o le meafaigaluega e faatumu lou faila po o, itu, sii mai iina.

SQLi Dumper v.7

O lenei polokalama - faigofie e faaaoga meafaigaluega mo le sailia ma le faatinoina o vaivaiga SQL. E maua e faavae le UN i le mea ua taʻua o Toreka. e mafai ona maua a latou lisi i luga o le Initoneti. Dorca mo SQL-tui - nei ma faataitaiga faapitoa o faafesili suesuega. Ma o latou fesoasoani, e mafai ona e maua le nofoaga e ono aafia gofie i soo se afi suesuega.

Meafaigaluega mo aoaoga

Itsecgames.com i le nofoaga o loo i ai se seti faapitoa o meafaigaluega e mafai ai e faaalia ai le faataitaiga i le auala e faia tui SQL ma tofotofo ai. Ina ia faamanuiaina, e tatau i le sii mai ma faapipii. O le archive loo i ai se seti o faila, o le faatulagaga o le saite. Ina ia faatuina o le a manaomia i le oi ai nei faiga o seti o Apache faigaluega web, MySQL ma PHP.

Suʻe le archive i se faila faigaluega web, e tatau ona e alu i le tuatusi ulu pe a faapipii lenei polokalama faakomepiuta. A itulau ma faamauina tagata e faaaogāina. O iinei e te manaomia e ulu atu i lou faamatalaga ma kiliki «Fatu». Agai i le tagata e faaaogāina i se screen fou, e uunaia ai oe e le faiga e filifili se tasi o le tulaga suega. I latou o loo i ai o loo faamatalaina e le gata i tui, ma le tele o isi mea suega.

E taua le iloiloina o se faataitaiga o le maua ituaiga SQL-tui / Search. Iinei e tatau ona e filifili ai ma kiliki «Hack». I luma o le a afio mai le tagata e faaaogāina, ma le faaaʻoaʻo manoa sailiga o se nofoaga o ata tifaga. E faavasega ata tifaga e mafai ona umi. Ae ua na o 10. Mo se faataitaiga, e mafai ona e taumafai e ulu atu i le Tagata Uamea. O le a faailoa mai e le ata tifaga, lea e galue ai le nofoaga, ma le laulau o loo i ai. O lenei ua tatou maua e siaki pe afai faamama faamatalaga tagata faapitoa, i upusii faapitoa. Ina ia faia lenei mea, faaopoopo 'i le pa tuatusi. " Gata i lea, e tatau ona faia lenei ua le igoa o le ata tifaga. le a tuuina atu se mea sese sese le saite: E i ai se mea sese i lou syntax SQL; siaki le tusi lesona e talafeagai i lau lomiga faigaluega MySQL mo le syntax aia tatau e faaaogā latalata '%' 'i laina 1, lea e faapea mai e faapea o le tagata e le o taulimaina saʻo pea. Lea e mafai ona e taumafai e suia lau talosaga. Ae e tatau ona tatou muamua fuafua le aofaiga o fanua. E faaaoga mo lenei faatulagaga e, lea ua faailoa mai ina ua tuanai le upusii: http://testsites.com/sqli_1.php?title=Iron+Man 'ina e 2 - & gaoioiga = suesuega.

na faaalia lenei poloaiga faamatalaga e uiga i le ata tifaga, o lona uiga, o le aofaiga o fanua e sili atu nai lo 2. O le hyphen lua taʻu mai e le tagata faigaluega e tatau ona tiai nei e faapea o le isi talosaga. O lenei ua tatou maua e faavasega ai, ma tuu le faateleina o le taua i le umi lava e le lomia le mea sese. I le faaiuga, o le liliu atu o le fanua o le a 7.

Le taimi nei o le taimi e maua ai se mea aoga mai le faavae. A teisi suia le talosaga i totonu o le pa tuatusi, ma aumaia ai i se pepa faatumu: http://testsites.com/sqli_1.php?title=Iron+Man 'iuni filifili 1, nofoaga autu o faamatalaga (), tagata e faaaogāina (), 4, upu faataga, 6, 7 mai tagata e faaaogāina - & gaoioiga = suesuega. O se taunuuga o lona faatinoina o le a faaali atu le manoa i le hashes upu faataga, e mafai ona faigofie ona liliu atu i faatusa malamalama i le faaaogaina o se tasi o le auaunaga i le initoneti. A conjured a itiiti ma piki i luga a igoa fanua i se login, e mafai ona e maua le avanoa i le ofi atu o se isi tagata, e pei o le admin o le saite.

O le oloa ua i ai se mamafa ituaiga ituaiga tui, lea e faataitai. E tatau ona manatua e mafai ona avea o se solitulafono tau soligatulafono e le faaaogaina o nei tomai i le fesootaiga i nofoaga moni.

Tui ma PHP

O se tulafono faafoe, le PHP-code ma e nafa ma le talosaga e tatau ai le faagasologa o sau mai le tagata e faaaogāina. O le mea lea, i lenei tulaga e tatau ona e fausia se puipuiga e faasaga i SQL-tui i PHP.

Muamua, sei o tatou tuuina atu ni nai taiala faigofie, i luga o le faavae o lea ua talafeagai ona faia faapea.

• e tatau ona faatinoina i taimi uma faamatalaga ao le i tuuina atu i le nofoaga autu o faamatalaga. O lenei e mafai ona faia e ala i le faaaogaina o faaupuga o lo oi ai, po o le faatulagaina o manually faafesili. O iinei foi, e tatau ona amanaia e liua tulaga faatauaina numeric i le ituaiga o loo manaomia;
• uunaia aloese fausaga eseese pulea.

O lenei a itiiti e uiga i le tulafono o le tuufaatasia o faafesili i MySQL ina ia puipuia SQL-tui.

I le tusia i luga o so o se faaupuga e fesili ai e taua le tuueseeseina o le faamatalaga mai le uputatala SQL.

• Filifili * MAI laulau FEA igoa = Zerg.

I totonu o lenei configuration, e mafai ona manatu o le faiga o le Zerg - o le igoa o so o se fanua, lea e tatau ona e siʻo i upusii.

• Filifili * MAI laulau FEA igoa = 'Zerg'.

Ae peitai, ei ai taimi e le taua lava o loo i ai upusii.

• Filifili * MAI laulau FEA igoa = 'Ivoire Côte d''.

na taulimaina iinei vaega o d Côte, ma e mafai ona iloa le vaega o totoe o se au, lea, o le mea moni, e leai. O le mea lea, e tupu se mea sese. Ona e manaomia lenei ituaiga o faamatalaga suesuega. Ina ia faia lenei mea, faaaoga se backslash - \.

• Filifili * MAI laulau FEA igoa = 'pusi-d \' Ivoire '.

uma ua taua i luga e faatatau i le laina. Pe afai o le gaoioiga e faia ma se fuainumera, lea e le manaomia o so o se upusii po o slashes. Peitai, e tatau ona manaomia i latou e faamalosi taitai atu ai i le ituaiga o faamatalaga manaomia.

O loo i ai fautuaga e tatau ona lafo atu le igoa o le fanua i backquotes. O lenei faatusa o loo i le itu tauagavale o le piano, faatasi ai ma a tilde "~". O lenei o le mautinoa e mafai ona iloa ai le saʻo MySQL le igoa o le fanua mai lau upu autu.

galuega maoae ma le faamatalaga

Lava o taimi, e maua ai o so o se faamatalaga mai le nofoaga autu o faamatalaga e faaaoga fesili, o lo dynamically. Mo se faataitaiga:

• Filifili * MAI laulau FEA numera = '$ numera.

Iinei, ua mavae le numera ma liuliuina $ o le fuafuaina o le tau o le fanua. Le a le mea o le a tupu pe afai e maua 'Côte d'Ivoire? Mea sese.

Ina ia aloese mai lenei faalavelave, o le mea moni, e mafai ona aofia ai le "upusii faamaneta" faatulagaga. A o lenei o le a valavala faamaumauga pe afai e talafeagai ma le manaomia. I le faaopoopo atu, pe afai o le tulafono ua tusia i lima, e mafai ona e faaalu sina taimi e foafoa ai e tetee atu i le faapapaina o le faiga lava ia.

Mo le gata tutoatasi o se slash mafai ona e faaaogaina mysql_real_escape_string.

$ Numera = mysql_real_escape_string ($ numera);

$ Tausaga = mysql_real_escape_string ($ tausaga);

$ Fesili = "faaofi I laulau (numera, tausaga, vasega) AGA TAUSILI ( '$ numera', '$ tausaga', 11)".

E ui o le tulafono laitiiti ma le faateleina o le aofai, ae e ono o le a galulue tele saogalemu.

placeholders

Placeholders - o se ituaiga o faailoga lea e iloa le faiga o le nofoaga lenei e tatau ona e suia se galuega tauave faapitoa. Mo se faataitaiga:

$ Sate = $ mysqli-> saunia ( "Filifili Faaitumalo MAI Numera FEA Igoa =?");

$ Sate-> bind_param ( "s", numera $);

$ Sate-> faaoo ();

O lenei fuaiupu o le tulafono laitiiti e se mamanu talosaga aoaoga ma lea e noatia ai le numera ma liuliuina, ma executes ai. O lenei auala e mafai ai ona e vaeluaina ai le faagasologa ma ona faatinoga fesili. O lea la, e mafai ona faaolaina mai le faaaogaina o code leaga e SQL-.

O le a atoa se attacker

Puipuiga System - o se vaega taua tele, e le mafai ona le amanaiaina. O le mea moni, o le a avea o se nofoaga kata pisinisi faigofie faigofie e toefuatai. Ma afai o se Portal tele, auaunaga, fono? O a taunuuga pe afai e te le manatu e uiga i le saogalemu?

Muamua, o se Hacker mafai ona soli e ia le faamaoni o le gata i le faavae ma aveese ai le atoatoa. Ma pe afai e le faia le tagata e pulea le nofoaga po o hoster a faaleoleo, o le a taimi faigata. Luga o mea uma, o se gaoi, faapapaina o se nofoaga e tasi, e mafai ona o atu i le isi lafoina i le faigaluega lava e tasi.

Isi, o le gaoi o faamatalaga patino o tagata asiasi. Le auala e faaaoga - Ua faatapulaaina mea uma na o le mafaufau o se Hacker. Ae i so o se tulaga, o le taunuuga o le a le tele matagofie. Aemaise lava pe afai o loo i ai faamatalaga tau tupe.

Foi, o le attacker mafai ona tuufaatasia faamaumauga oe lava ma extort tupe mo lona toe foi mai.

Faamatalaga sese o tagata e faaaogāina e avea ma sui o le tagata e pulea le nofoaga, o le tagata e le o le, e mafai foi ona avea ma taunuuga le lelei e pei o mea moni e mafai faiga taufaasese.

iʻuga

Faamatalaga uma i lenei ua tuuina atu le mataupu mo faamoemoega faamatalaga na. Faaaoga manaomia gata ai e tofotofo ai lo latou lava galuega faatino pe a detects vaivaiga ma talanoa i latou.

Mo se suesuega i totonu o le loloto o le auala o le ala e faia SQL-tui, e tatau ona amata i le gafatia suesuega moni ma vaega o le gagana SQL. A o tuufaatasia faafesili, uputatala, faamatalaga faamauina ituaiga, ma le faaaogaina o mea uma.

Foi e le mafai ona faia e aunoa ma le malamalama i le faagaoioiga o PHP ma elemene HTML galuega tauave. O le faaaogaina autu manatu vaivai mo tui - se laina tuatusi, ma fanua eseese suesuega. Aoaoina o galuega tauave PHP, o le a fuafua auala o faatinoga ma le vaega pe faapefea ona aloese mai mea sese.

Le afioaga o le tele saunia-faia meafaigaluega polokalama e mafai ai ona loloto iloiloga i le tulaga maaleale o iloa nofoaga. O se tasi o oloa sili ona lauiloa - kali linux. O lenei faatusa o se faiga e faagaoioia faale-Linux, lea o loo aofia ai se aofaiga tele o meafaigaluega ma polokalame e mafai ona tauaveina le auiliiliga atoatoa o le malosi nofoaga.

Le a le mea e tatau ona e iloa le auala e Hack le nofoaga? E matua faigofie - e tatau ai ina ia iloa o le tulaga maaleale o tulaga o lau galuega faatino po o le website. Aemaise lava pe afai o se faleoloa i le initoneti i le totogiina i le initoneti, pe afai o le faamatalaga e faaaogāina totogiina e mafai ona suia e se attacker.

Mo le suesueina o tomai faapitoa o tagata faigaluega oi ai nei le saogalemu faamatalaga o le a mafai ai ona siaki mai le nofoaga mo le tele o taiala ma loloto. Amata mai a faigofie HTML-tui ma lautele inisinia ma phishing.