Ko nga whakaeke i roto i te Whakangungu SQL e nui ana te whakaraerae ki nga tono tukutuku e whakawhirinaki ana ki runga i te paatai raraunga hei whakaputa i nga ihirangi hihiri. I tenei momo whakaeke, ka whakahaerehia e nga kaiwhakangungu tetahi tono tukutuku i roto i te ngana ki te whakamutu i a raatau ake ture SQL ki te hunga i whakaputaina mai e te paerewa. Hei tauira, tirohia te tuhinga SQL Attack Attacks on Databases. I roto i tenei tuhinga, ka tirohia e matou nga huarahi maha e taea ai e koe te whakamatautau i to tono tukutuku kia mohio ai he mea whakaraerae ki nga whakaeke Injection SQL.
Whakamutuhia te Whakamutu Iro SQL
Ko tetahi pea ka whakamahi i te matawai whakaraerae tukutuku whakaraerae, pērā i te WebInspect HP, IBM's AppScan ranei Cenzic's Hicalstorm. Ko enei taputapu katoa e whakarato ana i ngawari, nga huarahi automataka ki te tuhi i to tono tukutuku mo nga ngoikoretanga o te whakaheke i te SQL. Engari, he tino utu, ka eke ki te $ 25,000 mo ia nohoanga.
Nga Toro Toro Whakamaroto Manual Manual
He aha te kaiwhakangunu tono rawakore ki te mahi? Ka taea e koe te whakahaere i etahi whakamatautau taketake hei aromatawai i to tono tukutuku mo nga whakapae whakaraerae SQL e kore e whakamahi i nga mea katoa atu i te whatunga tukutuku. Tuatahi, he kupu whakatupato: ko nga whakamatautau e whakaahuatia ana e ahau anake e rapu ana i nga whaainga Injection SQL. Kaore e kitea e raatau nga tikanga toronga me nga mea tino pai ki te whakamahi. Mena ka taea e koe te utu, haere me te matawai aunoa. Heoi, ki te kore e taea e koe te whakatutuki i taua tohu utu, ko te whakamatautau pukapuka ko te mahi tuatahi.
Ko te huarahi tinowari ki te aromatawai mehemea ka whakaraeraehia he tono he whakamatautau ki nga whakaeke i roto i te werohanga kaore e kino ki to papamahi mehemea ka angitu koe engari ka whakaaturia e koe me whakatika koe i tetahi raruraru. Hei tauira, mehemea kei a koe he tono tukutuku noa e titiro ake ana i te tangata takitahi i roto i te paparangi raraunga me te whakarato i nga korero whakapiri hei hua. Ka whakamahi pea taua whārangi i te horopaki URL e whai ake nei:
Ka taea e tatou te whakaaro kei te hangaia e tenei waahanga he tirotiroranga raraunga, ma te whakamahi i te uiuinga me te mea e whai ake nei:
WHAKATAHI waea mai i te WHAKANUI WHERE ingoa = = 'chapple' me te ingoa tuatahi = 'mike'Me whakamatau taatau ki tenei. Ki to tatou whakaaro i runga, ka taea e tatou te whakarerekētanga ki te URL e whakamatautau ana mo nga whakaeke i roto i te SQL:
http://myfakewebsite.com/directory.asp?lastname=chapple&firstname=mike'+AND+(select+count(*)+from+fake)+%3e0+OR+'1'%3d'1Mena kaore i tiakina te tono tukutuku mai i te wero SQL, ka awangawangahia tenei ingoa ririki ki te korero SQL e mahia ana mo te paataka, ka hua mai:
TE WHAKARANGA waea MAI i te WHAKANGA WHERE ingoa = = 'te peau' me te ingoa tuatahi = 'mike' AND (tohua te tatau (*) mai i te ripoata)> 0 OR '1' = '1'Ka kite koe he iti ake te raupapa o runga ake i tera i roto i te URL taketake. I tangohia e ahau te mana o te huri i te huringa taurangi URL mo o raatau ASCII kia maatau ake ai te whai i te tauira. Hei tauira,% 3d te huringa URL-mo te '=' tahua. I tapiritia ano e ahau etahi waahanga raupapa mo nga kaupapa e rite ana.
Te arotake i nga Hua
Ka tae mai te whakamatautau ka tamata koe ki te uta i te paetukutuku me te URL kua whakarārangitia i runga nei. Mena he pai te whanonga o te tukutuku, ka whakakorea e ia nga korero takitahi mai i te whakauru i mua i te paahitanga o te uiuinga ki te papaunga raraunga. Ka whai hua tenei i roto i te titiro whakamua mo tetahi me te ingoa tuatahi kei roto i te paihere o SQL! Ka kite koe i tetahi karere hapa i te tono kia rite ki te waahanga kei raro:
Hapa: Karekau he kaiwhakamahi i kitea me te ingoa mike + AND + (tīpakohia + tatau (*) + mai i te pakiwaitara +% 3e0 + OR + 1% 3d1 Paaho!I tetahi atu, ki te mea he whakaraerae te tono ki te wero SQL, ka tika te korero ki te paataka, ka puta i tetahi waahanga e rua. Tuatahi, ki te whakaatuhia e to kaimau he whakamataku karere kua tukuna (e kore e tika!), Ka kite koe i tetahi mea penei:
Microsoft OLE DB Kaiwhakarato mo te hapa o Drivers ODBC '80040e37' [Microsoft] [ODBC Kaiwhakahaere Tūmau SQL] [Tūmau SQL] Ingoa ingoa muhu muhu 'fake'. /directory.asp, raina 13I tetahi atu ringa, ki te kore e whakaatuhia e to kaimau tukutuku nga karere hapa, ka whiwhi koe i te hapa nui, penei:
Hapa Waeaturo Tuhituhi I parea te tūmau i te hapa i roto, i te whakahekengakore ranei, a kihai i taea te whakaoti i to tono. Tena koa whakapā atu ki te kaiwhakahaere o te tūmau hei whakamōhio atu mō te wa i puta mai ai te hapa, me tetahi o nga mea i mahia e koe, i puta ai pea te hapa. Ka kitea pea etahi atu korero mo tenei hapa i roto i te takiuru hapa haumaru.Mena ka whiwhi koe i tetahi o nga hapa e rua i runga nei, ka whakaraeraehia to tono ki te whakaeke i te whakaeke SQL! Ko etahi o nga mahi e taea ana e koe hei tiaki i a raatau tono ki nga whakaeke Injection SQL:
- Whakamahia te arotakenga tawhito ki nga tono katoa. Hei tauira, ki te tono koe ki tetahi ki te whakauru i te tau o te kiritaki, me whakarite he tau te whakauru i mua i te whakatutuki i te uiui .
- Whakaritea nga whakaaetanga o te kaute e whakahaere ana i nga uiui SQL . Ko te tikanga mo te iti rawa o te painga. Mena kaore te kaute i whakamahia hei whakaoti i te uiuinga kaore he whakaaetanga kia mahia, kaore e angitu!
- Whakamahia nga tukanga rongoa (ranei nga tikanga rite) hei aukati i nga kaiwhakamahi mai i te honohono tika me te waehere SQL.