Waa maxay la duray of SQL?

Tirada goobaha iyo bogagga internetka waxaa si tartiib ah u koraya. Qaato horumarinta oo dhan bal yaa wax. Iyo horumarinta Web laylis inta badan isticmaalaan code ammaan ahayn oo jirka ah. Oo waxay abuurtaa badan oo dulduleelo Dambiila iyo tuugada. Badan yihiin. Mid ka mid ah dayacanka ugu classic - SQL-duro.

qayb ka mid ah aragtida ah

Dad badan ayaa la ogaado in inta badan goobaha iyo adeegyada on shabakadda isticmaalayso kaydinta database SQL ah. Tani waa af habeysan su'aal kuu ogolaanaya inaad si loo xakameeyo iyo maarayn ka kaydinta xogta. Waxaa jira versions kala duwan ee nidaamka database maamulka database ah - Oracle, MySQL, Postgre. Ayadoon magaca iyo nooca, ay u isticmaalaan xogta su'aal isku mid ah. Waxaa halkan waa in been nuglaanshaha iman kara. Haddii sameeysa ee ku guuldareysatay inay si fiican u xamili, iyo si ammaan ah u codsato, weerar faaiidaysan karaan ayna u isticmaasho xeelado gaar ah si ay u helaan database ah, ka dibna - iyo in maamulka goobta oo dhan.

Si looga fogaado xaaladaha sida, waxaad u baahan tahay in si fiican loo gaarsiiyo code iyo si dhow ula socdaan hab kaas oo laga baaraandegayo codsiga.

Hubi SQL-duro

In la dhiso joogitaanka nuglaanta a in network uu leeyahay miisaan nidaamka software iswada dhammeeyey. Laakiin waxaa suurto gal ah si ay u fuliyaan jeeg fudud gacanta. Si arrintan loo sameeyo, waxaad tagtaa mid ka mid ah goobaha baaritaanka iyo bar cinwaanka in ay isku dayaan in ay keeni baadi database a. Tusaale ahaan, script ah oo ku saabsan goobta ma qaadi karaan codsiga oo ha u jar.

Tusaale ahaan, waxaa nekiy_sayt / Interbis? Id = 25

Habka ugu fudud - in ay ku riday 25 ka dib markii quote iyo soo diri codsiga. Haddii qaladka ma ka dhacay, sidoo kale on the site iyo filter codsiyada oo dhan si sax ah u maareeyeen, ama naafo yahay in goobaha ay wax soo saarka. Haddii page la reloaded dhibaatooyinka, ka dibna u nugul in ay SQL-duro waa.

Kadib markii ay ogaatay, waxaad isku dayi kartaa in laga takhaluso waxaa ka mid ah.

Si loo fuliyo baahida nuglaanta this inuu in yar oo ku saabsan ogaadaan kooxaha SQL-weydiimo. Mid ka mid ah iyaga ka mid ah - MIDOWGA. Waxay isu keentaa dhowr natiijooyinka su'aal keliya. Sidaas awgeed, waxaan xisaabi kartaa tirada beeraha ee miiska. TUSAALE weydiinta marka hore waa:

• nekiy_sayt / Interbis? id = 25 MIDOWGA Dooro 1.

Xaaladaha intooda badan, diiwaanka waa in ay curiyaan qalad. Taas macnaheedu waa in tirada beeraha ma qummana 1. Sayidka, doorashada fursadaha of 1 ama ka weyn, waxaa suurtagal ah in la dhiso ay tirada saxda ah:

• nekiy_sayt / Interbis? id = 25 MIDOWGA Dooro 1,2,3,4,5,6.

Taasi waa, marka qaladka mar dambe ma soo muuqan doona, waxay ka dhigan tahay, in tirada beeraha inay u maleynayaa.

Sidoo kale waxaa jira xal kale oo ay dhibaato this. Tusaale ahaan, marka tiro badan oo ah beeraha - 30, 60 ama 100. GROUP Tani amarka BY. Waxaa kooxaha natiijooyinka su'aal ah oo ku salaysan wax, tusaale ahaan id:

• nekiy_sayt / Interbis? id = 25 GROUP BY 5.

Haddii qaladka aan la helay, markaas beeraha ka badan 5. Sayidka, badalaa fursadaha kala duwan si cadaalad ah meel ballaadhkeedu yahay, waxaa suurtagal ah in loo xisaabiyo sida kuwa badan oo iyaga ka mid ah run ahaantii.

Tani waxay tusaale ahaan SQL-duro - bilowga ah kuwaas oo doonaya in ay naftooda isku dayaan in imtixaanka of its site. Waxaa muhiim ah in la xasuusto in aan la ogalayn in ay helaan article kale la heli karo ee xeerka ciqaabta.

Noocyada ugu muhiimsan ee la isku duro

Dhaqangelinta nuglaanta by SQL-duro dhowr embodiments. Next waa hababka ugu caansan:

• MIDOWGA The weydiinta SQL ku duray. Tusaale A fudud ee noocan ah ayaa durba la kor ku baaro. Waxaa la ogaaday in ay sabab u tahay qalad in hubinta xogta soo socda, taas oo aan la sifeeyo.

• Error ku salaysan duro SQL. Sida magacaba ka muuqata, noocan ah ayaa sidoo kale wuxuu isticmaalaa qalad, diraya tibaaxaha ka kooban syntactically aan sax ahayn. Markaas waxaa waa in dhexda ee madax jawaab, taxliilin oo la fulin karo ka dib SQL-duro.

• Mire Waqaf oo weydiimo SQL ku duray. nuglaanta Tani waxaa lagu go'aamiyaa fulinta codsiyada isku xigta. Waxaa lagu gartaa waxaa dheer ee dhamaadka calaamada ",". Habkan waxaa inta badan la fuliyo si ay u helaan hirgelinta akhriska iyo qoraalka xogta ama nidaamka hawlgalka hawlaha, haddii ay mudnaanta u ogolaan.

Software goobidda SQL-dayacanka

halkaas diyaar u yahay SQL-duro, barnaamijka caadiga ah waxay leeyihiin laba qaybood - site a iskaan for dayacanka suurtagal ah iyo u isticmaalaan si ay u helaan xogta. Waxaa jira qaar ka mid ah qalab loogu talagalay dhufto ee ku dhowaad dhammaan yaqaan. Ay ka shaqeynayaan aad bay u fududeeyaa website hubinta in crack aad SQL-duro.

Sqlmap

scanner aad u awood badan oo ka shaqaysa la database ugu. Waxa ay taageertaa qaabab kala duwan oo ka mid ah hirgelinta SQL-duro. Waxay leedahay awood u leh inay si toos ah u aqoonsan nooca arrinkaas hash password iyo qaamuuska. La joogo iyo functional Upload file iyo download ka server a.

Rakibaadda on Linux waxaa loo sameeyaa iyadoo la isticmaalayo amarrada:

• git Gadzhiyev https://github.com/sqlmapproject/sqlmap.git sqlmap-Dev,
• cdsqlmap-Dev /,
• --wizard ./sqlmap.py.

Waayo, Windows waa la heli karo sida doorasho la line amarka iyo interface user garaafyada.

jSQL duritaanka

jSQL duritaanka - a qalab cross-madal, waayo, iyagoo jirrabaya isticmaalka dayacanka SQL. Written ee Java, si nidaamka waa in lagu dhejiyaa JRE. Awoodaan in ay la tacaalaan HELI codsiyada, POST, madax, cookie. Waxay leedahay a interface garaafyada sahlan.

rakibo of xirmo software tani waa sida soo socota:

wget https://github.com/`curl -S https: //github.com/ron190/jsql-injection/releases | grep-E -o '/ron190/jsql-injection/releases/download/v[0-9]{1,2}.[0-9]{1,2}/jsql-injection-v[0-9] . {1,2} [0-9] {1,2} .jar '| madaxa-n 1`

Furitanka waa adigoo isticmaalaya Java amarka -jar ./jsql-injection-v*.jar

In si ay u bilaabaan goobta imtixaanka on SQL-nuglaanta, waxaad u baahan tahay in ay galaan cinwaanka duurka ugu sareeya. Waxay yihiin gaar ah RAADSO iyo POST. Iyada oo natiijo fiican, liiska miisaska la heli karo ka dhex muuqan doonaa suuqa kala tagay. Waxaad iyaga ku arki kartaa oo ay bartaan qaar ka mid ah warbixin qarsoodi ah.

tab «page Admin» isticmaalo si aad u hesho darfahoodii maamulka. waxaa On by yahay habyaalada gaar ah si toos ah u baadhaa nidaamka diiwaan users mudan. iyaga ka waxaad ka heli kartaa oo kaliya hash ah sirta ah. Laakiin waxa uu leeyahay in qalabeed ee barnaamijka.

Kadib markii dayacanka iyo duro oo dhan weydiimaha loo baahdo, qalabka ogolaan doonaa in server si ay u buuxiso aad file ama, taas bedelkeeda, waxaa soo bixi halkaas ka.

SQLi Dumper v.7

Barnaamijkan - fududahay in la isticmaalo qalab ah helitaanka iyo hirgelinta dayacanka SQL. Waxay soo saartaa UN waxay ku salaysan tahay wax-u Dorkas ah. Liiska laga heli karaa internetka. Dorca for SQL-duro - kuwani waa arrimo gaar ah oo weydiimo search. Iyadoo ay gargaar, waxaad ka heli kartaa goobta laga yaabo nugul iyada oo wax kasta oo search engine.

Tools tababarka

Itsecgames.com on site waxaa jira go'an gaarka ah ee qalabka u ogolaanaya tusaale ahaan waxay muujinaysaa sida loo sameeyo duro SQL oo la tijaabiyaa. In si ay uga faa'ideystaan, waxaa lagama maarmaan ah in ay soo baxdo iyo rakibi. archive wuxuu ka kooban yahay go'an of files, taas oo ah qaab-dhismeedka goobta. Si aad u rakibi u baahan doonaa in nidaamka hadda jira ee set oo ah server web Apache, MySQL iyo PHP.

Ka soo fagid archive ee folder server web ah, aad leedahay si aad cinwaanka ku soo galay markii ay ku rakibidda aado software. page A diiwaan user. Halkan waxa aad u baahan tahay in ay galaan macluumaadkaaga iyo riix «Abuur». Guuritaanka user si screen cusub, habka aad jirtey in ay doortaan mid ka mid ah xaaladaha imtixaanka. iyaga waxaa ka mid ah labada tilmaamay by duro, iyo waxyaabo kale oo badan imtixaanka.

Waxaa xusid mudan fiirsaneysa inay tusaale ku saabsan nooca SQL-duro RAADSO / Search. Halkan waxa aad u baahan tahay si aad u dooro isla markaasna riix «Hack». Ka hor inta user muuqan doonaa, oo dayashada search string of site filim ah. Si aad u kala sooci movies noqon kartaa muddo dheer. Laakiin waxaa jira 10. kaliya Tusaale ahaan, waxaad isku dayi kartaa in ay galaan Man Iron ah. Waxaa tilmaami doonaa filimka, markaas site u shaqeeyo, iyo miisaskii ay waxa ku jira. Haatan waa inaan si aad u hubiso haddii filtarrada characters gaar ah script, in quote gaar ah. Si arrintan loo sameeyo, ku dar 'ee bar cinwaanka. " Waxaa intaa dheer, waa in la sameeyo ka dib markii horyaalka film ee. Meesha la siin doonaa Error qalad: Waxaad qalad in aad Saan SQL, hubi buuga u dhigma aad version server MySQL for Saan sax ah in la isticmaalo meel u dhow '%' 'at line 1, taas oo dhigayaa in jilayaasha aan weli si sax ah u maareeyeen. Sidaas daraaddeed waxaad isku dayi kartaa in ay ku badallano codsigaaga. Laakiin waa in aan marka hore loo xisaabiyo tirada beeraha. Waxa loo isticmaalaa si this by, kaas oo la soo bandhigay ka dib markii xigasho ah: http://testsites.com/sqli_1.php?title=Iron+Man 'si ay 2 - & tallaabo = raadinta.

Amarkani waxa kaliya ee soo bandhigay warbixin ku saabsan filimka, la, tirada beeraha waa ka weyn yahay 2. hyphen The double sheegayaa server ah in codsiyo kale waa in la tuuraa. Haatan waa inaan u xalino, gelinaya muhiimadda ay leedahay kordhinta ilaa iyo inta qaladka aan la daabacay. In dhamaadka, waxaa soo baxday in beeraha uu noqon doono 7.

Hadda waxa la joogaa wakhtigii si ay wax faa'iido leh oo ka soo baxa ee saldhiga ah. wax yar ka beddeli doonaa codsiga ee bar cinwaanka, keenaya foom: http://testsites.com/sqli_1.php?title=Iron+Man 'ururka dooro 1, database (), user (), 4, password, 6, 7 ka users - & tallaabo = raadinta. Sidaas darteed of hirgelintiisa muujiyaan lahaa string la hashes password ka, taas oo si fudud loo roggi karaa calaamado la fahmi karo iyadoo la isticmaalayo mid ka mid ah adeegyada online. A conjured yar iyo magiciisii beer gaaray la login ah, waxaad heli kartaa helitaanka qof kale soo galo, sida admin goobta.

wax soo saarka waxay leedahay noocyo duro miisaanka noocyada, kaas oo ay ku dhaqmaan. Waa in la xusuustaa in codsiga ka mid ah xirfadaha ee shabakadda goobaha dhabta ah waxaa laga yaabaa in fal denbi ah.

Irbado iyo PHP

Sida caadiga ah, ee PHP-code waxayna masuul ka tahay codsiyada processing lagama maarmaan ka imaanaya user ah. Sidaa darteed, heerka this aad u baahan tahay si ay u dhisaan difaac ka dhan ah SQL-duro ee PHP.

First, ha siin a xeerarka yar oo sahlan, ku salaysan kuwaas oo ay lagama maarmaan tahay in sidaas la sameeyo.

• Data waa in mar walba loo hawl inta aan la gelin database ah. Taas waxaa la samayn karaa iyadoo la isticmaalayo tibaaxaha jira, ama by abaabulka weydiimo gacanta. Halkan, sidoo kale, waa in ay tixgeliyaan in qiimaha tiro waa la gediyay nooca in loo baahan yahay galay;
• Fogaadaa keentay in qaab-dhismeedka gacanta kala duwan.

Hadda wax yar oo ku saabsan xeerarka ururinayaan weydiimo ee MySQL si ay u difaacaan SQL-duro.

Dejinta wixii tibaaxaha in su'aal waxaa muhiim ah in la kala saaro xogta ka keywords SQL ah.

• * Ka dooro miiska XAGGEE magaca = Zerg.

In qaabeynta this, nidaamka u malayn kartaa in Zerg - magaca beerta kasta, si aad u baahan tahay si aad u soo lifaaq in xigashooyin.

• Dooro * KA miiska XAGGEE magaca = 'Zerg'.

Si kastaba ha ahaatee, waxaa jira waqtiyo qiimaha laftiisa ku jira xigashooyin.

• Dooro * KA miiska XAGGEE magaca = 'Côte d'Ivoire'.

Halkan kaliya qaban qayb ka mid ah Côte d, iyo inta kale waa la arki karo koox, kuwaas oo, dabcan, aan. Sidaa darteed, qalad dhaco. Markaas waxaad u baahan tahay noocan oo kale ah xogta baaritaanka. Si arrintan loo sameeyo, u isticmaal istillaab a - \.

• Dooro * KA miiska XAGGEE magac = "cat-d \ 'Ivoire'.

All of kor ku xusan waxaa loola jeedaa saf ah. Haddii wax tallaabo ah ka qaadataa meel dhowr ah, ka dibna waxa aanu u baahan tahay xigasho ama dhimi. Si kastaba ha ahaatee, waxaa looga baahan doonaa in ay si qasab ah u wadin inuu soo nooca xogta la doonayo.

Waxaa jira talooyin in magaca beerta waa in la soo lifaaqay in backquotes. Astaanta Tani waa dhinaca bidix ee keyboard ah, oo ay la socdaan tilde ah "~". Tani waa si loo hubiyo in si sax ah MySQL kala saari kari magaca duurka ka keyword.

shaqada Dynamic la data

Inta badan, in ka database isticmaalaya weydiimo, ahbaa dynamically hesho wixii xog ah. Tusaale ahaan:

• Dooro * KA miiska XAGGEE tirada = '$ Tirada'.

Halkan, tirada $ variable loo gudbiyo sida go'aaminta qiimaha duurka. Maxaa dhici doona haddii waxa uu helo 'Côte d'Ivoire'? Error.

Si looga fogaado dhibaato this, dabcan, waxaad ka mid noqon kartaa "xigasho sixir" goobaha. Laakiin hadda xogta laga baari doonaa halkaas oo loo baahan yahay oo aan loo baahdo. Intaa waxaa dheer, haddii xeerka waxa ku qoran by gacanta, aad waqti yar oo dheeraad ah si ay u abuuraan adkaysi u qoslaan nidaamka laftiisa ka isticmaali karto.

Wixii intaa dheer ee madax banaan ee xarriiq isticmaali kartaa mysql_real_escape_string.

$ Number = mysql_real_escape_string ($ tirada);

$ Year = mysql_real_escape_string ($ sano);

$ Weydiinta = "Gali miiska QIIMAYN (tiro, sanad, fasalka) ( '$ Tirada', 'sanadkii $', 11)".

Inkastoo code oo kordhay mugga, weli laga yaabo inay wax ka qaban doonto aad uga badbaado.

placeholders

Placeholders - nooc ka mid ah calamado taas oo nidaamka ay aqoonsan tahay in this meel aad u baahan tahay si ay u badali shaqo gaar ah waa. Tusaale ahaan:

$ Dawladdu = $ mysqli-> diyaariyo ( "Degmada xusho Number XAGGEE Name =?");

$ Sate-> bind_param ( "s", $ tirada);

$ Sate-> fuliyaan ();

Qaybtan code qaadataa codsi template tababarka ka dibna xidhana tirada variable, oo waxay ku fuliyay. Habkan wuxuu kuu ogolaanayaa inaad kala processing weydiinta iyo hirgelintiisa. Hadaba, waxa la badbaadin karaa ka isticmaalka code xaasidnimo ah waa SQL-.

Maxaa laga yaabaa in weerar

System Protection - arrin aad u muhiim ah, taas oo aan la dayacay karo. Dabcan, goobta fudud kaarka ganacsi fududaan doonta in la soo celiyo. Iyo haddii ay tahay a portal weyn, adeegga, forum? Waa maxay cawaaqibka haddii aadan u malayn in ku saabsan ammaanka?

First, Hackers a jebin kartaa daacadnimada labada saldhig oo gabi ahaanba meesha laga saaro. Oo haddii maamulaha goobta ama hoster ma sameeyaan gurmad ah, waxaad yeelan doontaa jeer adag. Iskusoo wada duuboo, tuugu, arrinkaas hal site a, u tegi kartaa kale posted in server la mid ah.

Next waa tuugada ah ee macluumaadka shakhsiyeed ee soo booqda. Sida loo isticmaalo - wax walba waxaa ku koobanyihiin oo kaliya malaha Hackers ah. Laakiin kiis kasta, cawaaqib ma noqon doonto mid aad u wacan yahay. Gaar ahaan haddii ku jira macluumaad maaliyadeed.

Sidoo kale, weeraryahanka naftaada ku milmaan karo database ka dibna lacago baad ah oo ay u soo laabtay.

users khaldan oo ku hadlaya magaca maamulaha goobta, qofka ay aan yihiin, sidoo kale waxay noqon karaan cawaaqib xun sida xaqiiqada suurto gal musuqmaasuq.

gunaanad

Dhammaan macluumaadka ee qodobkan waxaa la siiyaa ujeedooyin macluumaad oo keliya. Isticmaal oo keliya u baahan tahay si ay u tijaabiso mashaariicda iyaga u gaar ah marka ay ogaadaa dayacanka iyo iyaga looga qabto.

Waayo, waxbarasho farsamooyin oo ku saabsan sida si ay u qabtaan SQL-duro more qoto-dheer, waxaa lagama maarmaan ah in lagu bilaabo ee cilmi dhabta ah iyo muuqaalada luqadda SQL ah. Sida weydiimo ay diyaarisey, keywords, noocyada macluumaadka, iyo isticmaalka waxa oo dhan.

Sidoo kale ma aan samayn karo aan fahmo howlgalka hawlaha PHP iyo xubno ka HTML. Isticmaalka hoose dhibcood nugul la isku duro - line cinwaan, oo beerta kala duwan search. Barashada hawlaha PHP, habka fulinta iyo muuqaalada fahmi doonaa sida looga fogaado khaladaadka.

Joogitaanka qalab badan oo software diyaar-dhigay ogolaanayaan qoto-dheer falanqaynta ku saabsan dayacanka goobta loo yaqaan ah. Mid ka mid ah waxyaabaha ugu caansan - Linux kali. Tani image nidaamka hawlgalka ku salaysan Linux, taas oo ka kooban tiro badan oo ah qalab iyo barnaamijyada ay qaban karaan falanqaynta ballaadhan oo xoog site.

Waxa aad u baahan tahay inaad ogaato sida loo khawano goobta? Waa mid aad u fudud - waxaa lagama maarmaan ah in laga war hayo oo ka mid ah dayacanka iman kara ee aad mashruuca ama website. Gaar ahaan haddii ay tahay dukaan online bixinta online, halkaas oo xogta bixinta user laguu balanqaadi karin by weerar.

Waayo, waxbarasho xirfadeed ee shaqaalaha ammaanka macluumaadka jira awoodo si aad u hubiso soo baxay goobta for noocyo kala duwan oo shuruudaha iyo si qoto dheer u noqon doonaa. Laga bilaabo fudud HTML-irbado iyo injineernimada bulshada iyo phishing.