برچسب: از

دانلود ما گزارش عمق: راهنمای نهایی برای در تزریق SQL T فروشندگان امنیت

روش هک کردن است که بیش از پانزده سال پیش کشف شد و هنوز هم به devastatingly موثر امروز اثبات است. آن را در آستانه انتخابات ریاست جمهوری آمریکا سال 2016 به سازش داده های شخصی از 200.000 ایلینوی رای دهندگان و همچنین در مشخصات بالا حملات علیه سازمان هایی مانند سونی پیکچرز و پی بی اس و مایکروسافت و یاهو، منطقه مرکزی سیستم های پرداخت و حتی استفاده می شود سازمان سیا.

SQL یا زبان پرس و جو ساختار ، فرمان و کنترل زبان برای پایگاه داده های رابطه ای مانند مایکروسافت SQL سرور اوراکل و MySQL است. در توسعه وب مدرن این پایگاه داده اغلب در پایان برنامه های کاربردی وب و سیستم های مدیریت محتوا در PHP, ASP.NET و یا دیگر معنی زبان برنامه نویسی نوشته شده که مطالب و رفتار بسیاری از وب سایت ساخته شده است در اطلاعات در یک پایگاه داده استفاده می شود سرور.

حمله موفقیت آمیز در پایگاه داده است که قادر به اجرای برنامه وب سایت یا وب، مانند حمله تزريق SQL است بای پس ورود به سایت می تواند بالقوه به هکر طیف گسترده ای از قدرت، از تغییر وب سایت محتوا (“برد”) دو گرفتن اطلاعات حساس مانند اطلاعات کاربری حساب یا اطلاعات کسب و کار داخلی. لیست دستورات تزریق SQL است که اساسا همان فهرست دستورات پایگاه داده، آنهایی که فاجعه آمیز مانند قطره جدول شامل.

آیا دو vulnerable.txt حمله تزريق SQL.

اولین گام در جلوگیری از حمله تزريق SQL است که (در صورت وجود) ایجاد برنامه های خود را “vulnerable.txt” هستند. بهترین راه برای انجام این کار این است که برای راه اندازی حملات خود را برای دیدن اینکه آیا آنها موفق هستند. اما پس از آن کار بی اهمیت برای ساخت قطعه کد است که می تواند به پرس و جو به تلاش کنید مصالحه پایگاه داده تزریق است SQL یک زبان پیچیده است. https://o1.qnsr.com/log/p.gif?;

n = 203; ج = 204650394; s = 9477؛ x = 7936; f = 201801171506010؛ تو = j; z = مهر زمان; = 20392931; e در

= خوب خبر این است که این لازم نیست: همه شما باید انجام دهید است به اجرا گذاشتن تزریق حمله ابزار خودکار به کار شما.

یک مثال Havij یک ابزار است که توسط متخصصان امنیتی ایران توسعه یافته است. آن نقطه در یک هدف بالقوه و پروب نسخه سایت برای تعیین چه نوع از پایگاه داده استفاده شده است. با استفاده از دانش که نسخه سپس نمایش داده شد دو پروب ویژگی های پایگاه داده ایجاد شده. کمی نیاز به هیچ تخصص SQL از کاربر نهایی نسخه بالقوه می تواند زمینه های، جداول، عصاره و افسردگی داده گاهی پر از هدف.

شاید مهمتر از همه، نسخه قابلیت رفع خطا است که می تواند کمک به شما در حذف برخی از آسیب پذیری آن است. نسخه موجود در نسخه رایگان و همچنین در نسخه تجاری به طور کامل برجسته است.

ابزار دیگر (منبع باز) عبارتند از: خودکار تزریق SQL SQLmap و jSQL. كرديد SQL نسخه گرافیکی از SQLmap است.

این ابزار قدرتمند تزریق SQL قرار حمله یک زرادخانه است که در غیر این صورت خواهد بود محدود به کارشناسان-به دست هر کسی که احساس می کند مانند حمله به برنامه های خود را. به همین دلیل ارزش تست برنامه های خود را با این ابزار است و قبل از اینکه کسی مخرب پیدا کرد آنها را رفع هر گونه آسیب پذیری آنها دو نور را.

مراحل برای جلوگیری از حملات تزریق SQL

خبر خوب این است که در واقع بسیاری از چیزهایی است که صاحبان وب سایت می توانید برای جلوگیری از تزریق SQL هست. اگرچه هیچ چیز مثل ادم راه حل در امنیت شبکه موانع بسیار خوبی می تواند در مسیر تلاش تزریق SQL قرار می گیرد.

ده مرحله شما می توانید میزان قابل توجهی کاهش خطر سقوط قربانی اینجا هستید به حمله تزريق SQL: اعتماد

1. هیچ کس: فرض همه کاربر ارسال شده داده ها بد است، بنابراین استفاده از ورودی اعتبار سنجی از طریق تابع مانند خروجی زیر را (mysql_real_escape_string) برای اطمینان از اینکه را در هر شخصیت های خطرناک مانند ‘ به SQL سوال در داده ها منتقل شوند. شما همچنین باید همه چیز را با فیلتر کردن داده های کاربر توسط زمینه sanitize. به عنوان مثال، آدرس ایمیل باید تنها شخصیت در یک آدرس پست الکترونیکی مجاز اجازه می دهد تا فیلتر شده، شماره تلفن باید به رقم مجاز در شماره تلفن و غیره اجازه می دهد فیلتر شده.
2. دان ‘ استفاده از SQL پویا-نمایش داده شد با ورودی کاربر نمی ساخت: حتی خطاب داده روال ناقص می، بنابراین استفاده از اظهارات آماده نمایش داده شد پارامتر یا ذخیره شده روش عوض هر زمان ممکن است. اما فراموش نکنید که در حالی که روش های ذخیره شده جلوگیری از برخی از انواع حملات تزریق SQL، آنها قادر به محافظت در برابر بسیاری دیگر، بنابراین به طور انحصاری در استفاده از آنها را برای امنیت خود را تکیه می کنند.
3. به روز رسانی و پچ: آسیب پذیری در برنامه های کاربردی و پایگاه داده است که هکرها می توانند بهره برداری با استفاده از تزریق SQL به طور منظم کشف هستند، بنابراین حیاتی برای اعمال وصله و به روز رسانی ها به زودی به عنوان عملی. راه حل مدیریت پچ ممکن است ارزش سرمایه گذاری.
4. فایروال: در نظر بگیرید در وب برنامه فایروال (WAF)-نرم افزار و یا لوازم خانگی-اساس-به کمک فیلتر کردن داده های مخرب. آنهایی که خوب خواهد شد مجموعه ای جامع از قوانین پیش فرض و آن را آسان برای اضافه کردن امکانات جدید در هر زمان که لازم است. WAF می تواند بسیار مفید به ارائه برخی از حفاظت امنیت در مقابل آسیب پذیری های جدید قبل از پچ موجود است. محبوب ماژول ModSecurity رایگان، متن باز است که برای آپاچی مایکروسافت IIS و nginx وب سرور در دسترس است. ModSecurity پیچیده و همیشه در حال تکامل مجموعه ای از قوانین را برای فیلتر کردن درخواست های بالقوه خطرناک وب را فراهم می کند. آن دفاع تزریق SQL می تواند بیشترین تلاش برای دزدکی حرکت کردن SQL از طریق کانال های وب گرفتن.
5. کاهش سطح حمله: دریافت خلاص از هر گونه عملکرد پایگاه داده که شما دان ‘ ŧ نیاز به جلوگیری از هکر بهره گیری از آن. به عنوان مثال، ریموت تمدید رویه ذخیره شده در کارشناسی ارشد گذاشتن پوسته فرمان ویندوز را تولید می کند و در رشته اعدام است که می تواند بسیار مفید واقع برای هکر عبور می کند. ویندوز روند تولید توسط ریموت همان امتیازات امنیتی به اشتراک گذاشتن و سرور خدمات است.
6. استفاده از امتیازات مناسب: دان ‘ تی اتصال به پایگاه داده خود را با استفاده از حساب با دسترسی مدیر سطح مگر اینکه دلیلی قانع کننده برای انجام این کار وجود دارد. با استفاده از یک حساب دسترسی محدود به مراتب امن تر است و می توانید محدود یک هکر قادر به انجام است. به عنوان مثال، کد پشت صفحه ورود به سیستم باید پرس و پایگاه داده با استفاده از یک حساب تنها به جدول مربوطه اطلاعات کاربری محدود. این راه نقض از طریق این کانال قوی کند تر و سازش کل پایگاه داده.
7. حفظ اسرار شما راز: گرفتن است که درخواست شما هنوز امن و بر این اساس با رمزگذاری یا هش کردن کلمات عبور و دیگر اطلاعات محرمانه از جمله رشته اتصال عمل می کنند.
8. اطلاعات بیشتر از شما نیاز به فاش کردن نیست: هکرها می تواند در مورد معماری پایگاه داده از پیام های خطای زیادی پس که آنها را به نمایش اطلاعات حداقل اطمینان حاصل شود. “RemoteOnly” customErrors حالت استفاده (یا معادل) برای نمایش پیغام خطا پرگو در دستگاه محلی در حالی که تضمین این که هکر خارجی می شود چیزی بیش از این واقعیت است که اقدامات خود را در اینجا و یا منجر به خطا هنگام.
9. به طور مداوم نظارت بر بیانیه های SQL از پایگاه داده متصل برنامه های کاربردی : این کمک می کند شناسایی اظهارات SQL سرکش و آسیب پذیری. مانیتورینگ ابزار است که یادگیری ماشینی و/یا تجزیه و تحلیل رفتاری می تواند بسیار مفید است.
10. خرید نرم افزار بهتر: را کد نویسندگان مسئول برای چک کردن کد و قبل از تحویل نرم افزار رفع نقص امنیتی در برنامه های سفارشی.  حس نشان می دهد شرایط از این قرارداد نمونه به موافقت خود را با هر فروشنده نرم افزار ترکیب.

به روز رسانی این مقاله 16 اوت 2012 نوشته شده توسط ویس هارون