2012 के सम्मेलन। बिग बैंग थ्योरी: संवर्धित सुरक्षा में पेन्टिंग का विकास। भाग 1

सभी को बधाई, आप कैसे हैं? मुझे उम्मीद है कि आप अच्छा कर रहे हैं, तो सुनें। सुनो जब मैं अमेरिका छोड़ कर एशिया या यूरोप आता हूं तो इन सभी अन्य देशों में हमेशा मेरे साथ क्या होता है। मैं बोलना शुरू करता हूं, मैं मंच पर खड़ा होता हूं और लोगों के साथ बात करना शुरू करता हूं, मैं उन्हें बताता हूं ... इसे राजनीतिक रूप से कैसे कहा जाए ... जो लोग अमेरिकी नहीं हैं वे भी अच्छे लोग हैं, और मैं उन्हें देखकर और सुनकर प्रसन्न हूं।



सुनो, मुझे लगता है कि तुम मुझे सही तरीके से समझोगे, इसलिए थोड़ा आराम करो, अपने कंधों को सीधा करो, मैं गंभीर हूँ! ठीक है, जब मैं यहां अपना काम कर रहा हूं, मैं चाहता हूं कि आप मेरे साथ संपर्क में रहें, जैसा कि यह था। मेरे पास एक वायरलेस एक्सेस प्वाइंट और पूरी तरह से गड़बड़ी में कमजोर अनुप्रयोगों के एक जोड़े हैं, और मुझे पता है कि कैसे अपने कार्यक्रमों को गड़बड़ाने के लिए ... पिछले साल मैंने बात की थी और मंच पर नशे में था, और फिर, उसके बाद एक आलोचक मेरे पास आया और कहा: " हे जो, आपके पास एक सामान्य प्रस्तुति थी, लेकिन डेमो स्पष्ट रूप से पर्याप्त नहीं था! " इसलिए, आज मेरी पूरी प्रस्तुति एक ठोस प्रदर्शन होगी, और मुझे आश्चर्य है कि आपको और क्या पसंद नहीं हो सकता है।

तो, "बढ़ी हुई सुरक्षा की स्थितियों में छिद्रण का विकास।" मैं 10 साल से नेट को क्रैश कर रहा था, और वे कितने शर्मीले थे, वे वही बने हुए हैं। मुझे नहीं पता कि आपको उनके साथ कोई अनुभव है, लेकिन फिर भी नेटवर्क बेकार है। और अनुप्रयोग अभी भी चूसते हैं। अभी क्या हो रहा है? अब हमारे पास आपके अनुप्रयोगों की सुरक्षा करने वाले 50 मिलियन सुरक्षा उत्पाद हैं, तो क्या? - चूसता है! - और आप नेट पर उनके साथ बाहर जाते हैं, जो क्या? - चूसता है! - और हमारे पास ऐसी चीज़ों का एक समूह है जो इस सब को चूसती हैं!

तो आज मेरा क्या काम होगा? मैं कौन हूँ? अधिकांश नेटवर्क मुझे जानते हैं, मैं सुरक्षा सम्मेलनों में एक काला आदमी हूं, हां, यह मैं हूं, वही लड़का है जिसके बारे में आमतौर पर कहा जाता है: "ठीक है, यह एक, उसके जैसा ... एक रंगीन अफ्रीकी ... मैंने उसे पहले देखा था!"

ठीक है दोस्तों, कुछ समय के लिए मैं नेटवर्क में हैकिंग में व्यस्त था। इसलिए, मैं एक पटाखा हूँ, मैं एक अभिशाप हूँ, और वह जो मुझे जानता है वह यह भी जानता है कि मुझे रम और कोका-कोला पीना पसंद है। लेकिन मेरे जीवन में कुछ बदल गया है, मुझे एक नई प्रेमिका मिल गई है, और वह पागल है क्योंकि मैं बहुत पीता हूं और वह वास्तव में पसंद नहीं करती कि मैं कैसे खाता हूं, इसलिए मुझे यात्रा करने की आवश्यकता है, इसलिए मुझे यहां आना पड़ा, मुझे यह सब मोटा गोलश खाना था। इसलिए कृपया उसे यह न बताएं कि मैं क्या खाता-पीता हूं।

इस स्लाइड पर, आप 10 साल पहले डीफोकॉन पर मेरा पहला प्रदर्शन देखते हैं, फिर देखो, अभी भी सीआरटी मॉनिटर थे, क्या कोई उन्हें याद करता है?



मैंने वहां बहुत से लोगों के साथ बात की, और हम उनके साथ "फ्लैग कैप्चर" में लगे हुए थे। "ध्वज को कैप्चर करें" - यह सिर्फ एक अद्भुत अनुभव था जिसने पूरी तरह से चमत्कारिक रूप से मेरे जीवन को बदल दिया, यीशु की तरह, मैं "हैललूजाह!" का उच्चारण करने के लिए तैयार था, यह बहुत अद्भुत था।
इसलिए, मैं जो करना चाहता हूं वह शुरुआती लोगों के लिए कैप्चर द फ्लैग टेस्ट बनाना है। यदि आप एक शुरुआत हैं, तो आपने शायद कभी कैप्चर द फ्लैग में भाग नहीं लिया है। इस परीक्षण के लिए एक मासिक प्रशिक्षण पाठ्यक्रम है, जिसमें एन्क्रिप्शन और डिक्रिप्शन समस्याओं का अध्ययन, एक नेटवर्क का परीक्षण करना, मैलवेयर का परीक्षण करना, रिवर्स इंजीनियरिंग समस्याओं का अध्ययन करना, शोषण का उपयोग करना और ऐसी अन्य चीजें शामिल हैं। यह एक बहुत ही ठोस और मजेदार घटना है। संक्षेप में, आइए कुछ ऐसा ही करने की कोशिश करें।

स्लाइड पर आप वायरलेस नेटवर्क के लिए सेटिंग्स देखते हैं, मैं आपसे इसे नहीं तोड़ने के लिए कहता हूं। यदि आप joe-hacktivity-Demo नामक एक नेटवर्क का उपयोग करना चाहते हैं, तो आप इस पासवर्ड का उपयोग कर सकते हैं।



यहां एक पाठ फ़ाइल है, इसे बनाने का कारण बस आपको ब्राउज़र के एड्रेस बार में जानकारी को कॉपी और पेस्ट करने की अनुमति है। आमतौर पर लोग विंडोज 7 जैसी चीजों के साथ ऐसा करते हैं, लेकिन इस मामले में आपको बस एक वेब ब्राउजर की जरूरत है। इसलिए यदि आपके पास फ़ायरफ़ॉक्स, क्रोम है, तो आपको बस अपने आईपैड या लैपटॉप को खोलना होगा, इस टेक्स्ट को कॉपी करना होगा और ऑनलाइन बुकस्टोर की वेबसाइट पर जाना होगा। मेरे पास एक IDS घुसपैठ का पता लगाने वाला सिस्टम है, मेरे पास Snort Box चल रहा है, और हम इस नेटवर्क को चालू रखने जा रहे हैं। हम वेब अनुप्रयोगों का एक गुच्छा, SQL इंजेक्शन का एक गुच्छा, इस होस्ट के खिलाफ क्रॉस-साइट स्क्रिप्ट का एक गुच्छा का उपयोग करने जा रहे हैं जिसमें यह वेब अनुप्रयोग है। फिर हमारे पास एक और "बॉक्स" है जिसमें एक फ़ायरवॉल कॉन्फ़िगर किया गया है ताकि मैं आपको कुछ आईडी और फ़ायरवॉल के आसपास ले जा सकूँ। हम बस वहां जाते हैं, इस पर चर्चा करते हैं और वहां कुछ दिलचस्प बातें करते हैं।

तो, क्या मुझे समझाने की ज़रूरत है या क्या मैं शुरू कर सकता हूं? ठीक है, ठीक है, चलो शुरू करें। मेरे पास अपने लैपटॉप में एक पेचीदा घुसपैठ का पता लगाने वाला सिस्टम है। अब मैं उस स्क्रीन पर छवि बढ़ाऊंगा जहां पाठ फ़ाइल प्रदर्शित होती है। आप ब्राउज़र बार में इसका पता देख सकते हैं, यह हमारी टेक्स्ट फाइल है।



मैं तुच्छ एसक्यूएल का उपयोग करके क्रॉस-साइट स्क्रिप्टिंग को लागू करने जा रहा हूं, लेकिन यदि आप एप्लिकेशन को अधिक गंभीरता से टिंकर करना चाहते हैं, तो आप इस टेक्स्ट फ़ाइल की जांच कर सकते हैं, जिसमें दो एप्लिकेशन हैं। 2.6, ASP.NET प्लेटफ़ॉर्म पर विकसित किया गया एप्लिकेशन, नेटवर्क की पुष्टि करता है कि यह काम कर रहा है, यह एक क्रॉस-साइट स्क्रिप्टिंग लाइब्रेरी और अन्य सुरक्षा तंत्रों के जोड़े के साथ डॉटनेट प्लेटफ़ॉर्म का एक अद्यतन संस्करण है, और अन्य सुरक्षा पुस्तकालयों को लोड करने के लिए एक संशोधित web.config फ़ाइल है।

2.7 पर आवेदन पिछले एक के रूप में एक ही आवेदन है, लेकिन इसमें न केवल सभी डॉटनेट सुरक्षा विशेषताएं हैं, बल्कि नेटवर्क अनुप्रयोगों के लिए एक फ़ायरवॉल भी है। इसलिए, मैं 2.35 पर इस एप्लिकेशन के साथ "मैडल" करना चाहता हूं, और मैं इसके बारे में बात करने जा रहा हूं।



यदि आप क्रॉस-साइट स्क्रिप्टिंग और एसक्यूएल इंजेक्शन की मूल बातें से परिचित हैं, तो आप समझेंगे कि 2.6, 2.5 और 2.7 क्या हैं। इसलिए हमारे पास यह टेक्स्ट फाइल है जिसे हम कॉपी और पेस्ट कर सकते हैं। आइए हम उस पैरामीटर के बारे में बात करते हैं, जो मैं हमारी साइट के एड्रेस बार में डालता हूं। यह bookdetail.aspx? Id = 2 है, और प्रश्न चिह्न का अर्थ है कि हमें जिस आईडी पैरामीटर आईडी की आवश्यकता है, वह है 2. वास्तव में, क्या होता है कि आपके वेब सर्वर का इंटरफ़ेस वेब सर्वर डेटाबेस से यह पता लगाने के लिए बोलता है कि क्या इसमें कोई प्रविष्टि है? इस डेटा पहचानकर्ता से संबंधित एक आईडी है जिसका मान 2 है। और डेटाबेस इंटरफ़ेस से उत्तर देता है: "हाँ, यार, मुझे तुम्हारी ज़रूरत है!"



अब हम क्या करने जा रहे हैं यह देखने के लिए जांचें कि क्या SQL इंजेक्शन हमारे लिए काम करता है। इसलिए, हम अंत में उद्धरण चिह्नों के रूप में एक सरल कोड यहां फेंक देंगे और देखेंगे कि इससे त्रुटि संदेश "वर्ण स्ट्रिंग के बाद खुले उद्धरण चिह्नों" का कारण बना। यह सबसे आम परीक्षणों में से एक है जब आप एक पैरामीटर को उद्धरण चिह्न के साथ बदलते हैं या एक पैरामीटर के रूप में सीधे उद्धरण चिह्न का उपयोग करते हैं। ऐसा अक्सर होता है, और आश्चर्य की कोई बात नहीं है।



चलिए थोड़ा अलग करने की कोशिश करते हैं। मैं मान बुकडेटेल.स्पेक्स के साथ पैरामीटर स्ट्रिंग को बदल दूंगा? आईडी = 4। कृपया ध्यान दें - जब मैं इस 4 को दो के साथ बदल देता हूं, तो प्रदर्शित पृष्ठ बदल जाता है, पृष्ठ के शीर्ष पर स्थित चित्र बदल जाता है। अब दोनों कोष्ठक में लेने की कोशिश करें, चित्र फिर से बदल गया है। यदि मैं पंक्ति के अंत (4-2) पर लिखता हूं, तो चित्र पंक्ति के अंत में 2 के समान होगा। यदि मैं कोष्ठक (4-1) में लिखता हूं, तो पृष्ठ समान दिखाई देगा जैसे कि मैं अंत में 3 नंबर डालूं, यानी मैंने आईडी को ट्रिपल के साथ बराबर किया।



तो, आप में से किसने इन मामलों में एक मनमुटाव करते हुए देरी की? आप ऐसा सोचते हैं: "ठीक है, मैं यहां पता बार में SQL कोड पेस्ट करूँगा, और यह मुझे होम पेज पर रीडायरेक्ट करेगा, और अब मैं इसे बदल दूंगा, और यह मुझे जहाँ भी ज़रूरत होगी या होम पेज पर फिर से भेज सकेगा।" वास्तव में, आप त्रुटि संदेशों को दबाते हैं, और ODBS त्रुटि संदेश की अनुपस्थिति आपको खुशी के साथ नृत्य करती है क्योंकि आप SQL कोड इंजेक्ट करने में सक्षम थे।

मुझे लगता है कि कुछ गलत है, लेकिन मैं इसे ठीक नहीं कर सकता। और क्या होता है? आपका डेवलपर खुद को सबसे चतुर समझता है क्योंकि वह त्रुटि संदेशों को दूर करने में सक्षम था। लेकिन वास्तव में क्या होता है जब आप डेटाबेस को इन सभी अंकगणितीय गणनाओं को करने के लिए मजबूर करते हैं?

इसलिए, डेटाबेस इस गणना को करता है: (4-1), और हमें पेज 3 मिलता है। हमने अभी साबित किया है कि SQL इंजेक्शन अब संभव है। इसलिए आप डेवलपर के पास वापस जा सकते हैं और कह सकते हैं: "नहीं, नहीं, नहीं, आदमी, आपके पास अभी भी SQL इंजेक्शन का विकल्प है, इस तथ्य के बावजूद कि कोई त्रुटि संदेश नहीं है!" आप इसे केवल थोड़ा ठीक कर सकते हैं, और यह हर समय और हर जगह होता है।

मैंने इस प्रकार के ट्रिक्स का इस्तेमाल किया, लेकिन गेम बदल रहे हैं, और अब बहुत से लोग वेब एप्लिकेशन फ़ायरवॉल के रूप में ऐसी चीज़ का उपयोग करते हैं। इसलिए, यदि आप कुछ इस तरह दर्ज करते हैं: पता पैरामीटर स्ट्रिंग में 2 या 1 इन (चयनित उपयोगकर्ता), तो आपको आमतौर पर इस डेटा प्रकार के लिए डेटाबेस स्वामी नाम DBO (डेटाबेस स्वामी) के गलत उपसर्ग के कारण त्रुटि संदेश मिलता है। इस मामले में, फ़ायरवॉल उपयोगकर्ता की पसंद के इस चरण में गिर जाता है और कहता है: "नहीं, नहीं, नहीं, मैं चुनाव नहीं कर सकता"!



इसलिए, जब आप इस तरह की चीजों को देखते हैं, तो इसका मतलब है कि अगर आपने अभी तक पता नहीं लगाया है कि क्या आपने एक वेब अनुप्रयोग फ़ायरवॉल का सामना किया है या यदि आप इन अंकगणितीय तरकीबों को नहीं कर रहे हैं, तो यह पता लगाने का एक अच्छा तरीका है कि क्या इस मामले में SQL इंजेक्शन है या नहीं यह वेब एप्लिकेशन एक फ़ायरवॉल है।

मैं आपको बताता हूं कि एक बहुत ही भयानक चीज है - रिटेल चेन पेन्टिंग करने की आवश्यकता। क्या आप में से किसी को पता है कि इसका अंग्रेजी में क्या मतलब है? पीसीआई? मुझे पीसीआई से नफरत है, लेकिन मैं लगातार रिटेल चेन पेन्टिंग में लगा हुआ हूं। पीसीआई एक डेटा सुरक्षा मानक है जो 2008 भुगतान कार्ड उद्योग डेटा सुरक्षा मानक (पीसीआई डीएसएस) विनियमन पर आधारित है। "खुदरा नेटवर्क पेन्टिंग" आपको पीसीआई मानक के अनुपालन को सत्यापित करने और वास्तविक खतरों की पहचान करने की अनुमति देता है।

यह मानक सत्य को बताने वाला असीम ज्ञान है: "उन्हें ... यह होना चाहिए ..." और आपको अंतर्राष्ट्रीय प्रमाणीकरण मानकों के अनुसार सुरक्षित एन्क्रिप्शन मानकों का उपयोग करना चाहिए, और आप इसे करेंगे ... या आप अपने वेब एप्लिकेशन के फ़ायरवॉल का उपयोग कर सकते हैं।

मैंने जिन सभी उपयोगकर्ताओं के साथ काम किया, उन्होंने सही काम किया, उन्होंने धमकी देने वाले मॉडलिंग का प्रदर्शन किया, फिर उन्होंने एक बैठक की, एक और बैठक की, फिर उन्होंने फिर से मुलाकात की और आखिरकार सब कुछ किया। आप ऐसा सोचते हैं? और नहीं! उन्होंने "अपने ट्रक को वापस सौंप दिया", और उनके पार्किंग सेंसर ने ऐसे रिवर्स सिग्नल उत्सर्जित किए। उन्होंने बस समस्या को एक कोठरी में छिपा दिया, दृष्टि से बाहर, और कहा: "हमने सब कुछ तय किया!"

अब मैं आपको एक और चीज दिखाऊंगा, जो, मेरी राय में, इसके साथ खेलना बहुत दिलचस्प है। यहाँ देखो। मैंने अब तक जो भी किया है वह एसक्यूएल लागू है। अब मैं यह करूंगा - मैं मुख्य डेटाबेस के पते का चयन करूंगा, इसे कॉपी करूंगा और ब्राउज़र के एड्रेस बार में पेस्ट करूंगा। हम देखते हैं कि पहले पैरामीटर को "बुकऐप" कहा जाता है जब पता पैरामीटर स्ट्रिंग में अंतिम पैरामीटर 0 होता है।



अब मैं इस 0 को 1 के साथ बदल दूंगा, और आप देखेंगे कि क्या हुआ - हमने देखा कि दूसरे डेटाबेस को "मास्टर" कहा जाता है।



फिर हम 1 से 2 बदलते हैं और देखते हैं कि अगले डेटाबेस को "tempdb" कहा जाता है।



अब मेरी मदद करो! क्या आप कह सकते हैं कि हमने SQL इंजेक्शन की पहचान कर ली है? हाँ, यह बहुत अच्छा है! लेकिन समस्या यह है कि मेरी IDS घुसपैठ का पता लगाने के कार्यक्रम में कुछ भी लाल नहीं हुआ! यह बात, जो स्क्रीन पर लाल नहीं है, जब हम SQL इंजेक्शन करते हैं, तो कोई खतरा नहीं पाया गया!



ठीक है, अब यहाँ देखो - मुझे कुछ गलत करना है। मैं सीधे डेटाबेस से डेटाबेस की जानकारी नहीं लेता हूं, और यह चीज मुझे क्या बताती है कि मैं लाल रंग में रेखांकित करता हूं?



नहीं, एक मिनट रुकिए! मैं इसे अलग तरीके से करने की कोशिश करूंगा। डेटाबेस नंबरिंग के बजाय, आइए ऊपर दी गई तालिका की पंक्ति से नंबरिंग का उपयोग करें जिसे "SQL इंजेक्शन त्रुटि - 1 डेटाबेस तालिका पुनर्प्राप्त करना" लिखा गया है।



मैं इस डेटा को कॉपी करता हूं और इसे ब्राउजर के एड्रेस बार में पेस्ट करता हूं। देखें कि हमारे पास अब क्या है - वाक्यांश (उन विषयों से शीर्ष 1 नाम चुनें जहां xtype = char (85)) - क्या देता है?

सही, मुख्य BOOKMASTER डेटाबेस का नाम। मुझे लगता है कि यह SQL इंजेक्शन है, जो एक ही सोचता है? यहां तक ​​कि स्टीवी वंडर भी देख सकता है कि यह एक SQL इंजेक्शन है!



लेकिन आइए यहां देखें - 0 खतरे! लेकिन यह एक सस्ती प्रणाली है, इसमें त्रुटियां हैं, नियमों को अपडेट नहीं किया गया है।



मुझे लगता है कि आईडीएस सत्यापन नियम थोड़े पुराने हैं, मैंने आज सुबह उन्हें डाउनलोड किया है, और वे थोड़ा, काफी पुराने हैं। हो सकता है कि मुझे यहाँ कुछ गड़बड़ लगी हो, मैंने पुराने नियमों को डाउनलोड किया, और मुझे नवीनतम नियमों को डाउनलोड करना पड़ा, जो 3 घंटे से अधिक नहीं हैं - मुझे नहीं पता।
लेकिन आगे देखते हैं। क्या होगा यदि हम अन्य डेटा को कॉपी करने की कोशिश करते हैं, जो यह कहता है कि "SQL इंजेक्शन त्रुटि - 2 डेटाबेस टेबल को पुनः प्राप्त करना"।



तो, 2 डी डेटाबेस के रिकॉर्ड हमें "sysdiagrams" कहा जाता है।



यही है, हमने सवाल पूछा, क्या पैरामीटर xtype = char (85)) और नाम 'BOOKMASTER' BOOKMASTER की तुलना में उच्च स्तर का नाम दिखा सकता है? दूसरे शब्दों में, क्या सिस्टम मुझे उस तालिका का नाम दे सकता है जो इस प्रकार है? यह है कि हम डेटाबेस को कैसे सूचीबद्ध करते हैं - जैसे ही आप डेटाबेस का नाम और तालिका का नाम पुनः प्राप्त करते हैं, आप पूछते रहते हैं, "अरे यार, क्या मुझे एक तालिका का नाम मिल सकता है जो अभी मैं देख रहा हूं, उससे बड़ा है?", और आप बस इस प्रक्रिया को जारी रखें और नई तालिकाओं के नाम प्राप्त करें।

लेकिन चलो वापस जाओ और मेरे कार्यक्रम को देखो - यह फिर से दिखाता है कि अद्वितीय सुरक्षा खतरों की संख्या 0. हम फिर से एक समस्या है!



अगर मैं यूनियन-आधारित SQL इंजेक्शन, यूनियन आधारित SQL की कोशिश करूँ तो क्या होगा? यहां मेरे पास कई अन्य प्रकार के SQL इंजेक्शन हैं, और अब हम बस एक पंक्ति डालते हैं जो तुरंत एक रिकॉर्ड की ओर इशारा करता है जिसकी आईडी 100 है।



परिणामस्वरूप, हमें जवाब मिलता है कि 100 नंबर मानों की मान्य सीमा से बाहर है। क्योंकि अगर मेरे पास 10 कॉलम हैं, तो क्या मैं 5 चुन सकता हूं? बेशक! क्या मैं 10 में से 20 कॉलम चुन सकता हूं? बिल्कुल नहीं! यही है, डेटाबेस जवाब देता है: "मुझे क्षमा करें, यार, लेकिन मेरे पास इतने कॉलम नहीं हैं!" महान, फिर मैं 100 से 50 बदल देता हूं, और वह फिर से मुझे लिखती है, "50 की सीमा से बाहर है।" ठीक है, 25 के बारे में क्या? नहीं, 25 भी सीमा से बाहर है। मुझे बताओ कि और क्या डायल करना है? 13? यह एक अशुभ संख्या है, लेकिन अच्छा है, हम 13 डायल करेंगे, और यह सीमा से बाहर भी है।

चलो 9 ले लो! महान, नौ काम किया! यह सही प्रविष्टि है, मुझे 9 से अधिक की आवश्यकता है, लेकिन सीमा मूल्य से कम है, इसलिए आइए यह जानने के लिए कुछ और खेलें कि आपकी तालिका में कितने स्तंभ हैं।



तो हम कैसे निर्धारित करते हैं कि एक तालिका में कितने स्तंभ हैं? अब हम एड्रेस बार में 1 से 9 तक एक सीक्वेंस डालेंगे, जिसे "यूनियन स्टेटमेंट", या "यूनीटेड स्टेटमेंट" कहा जाता है। यह निर्देश उस चीज़ को जोड़ता है, जो डेवलपर ने आपके द्वारा लिखी गई बातों के साथ लिखा था।



लेकिन आपको यह चुनने के लिए दोनों विकल्पों के निर्देशों के लिए सही संख्याओं की आवश्यकता है कि आपके कॉलम किस नंबर पर समाप्त होते हैं। हम यह ट्रिक करेंगे - नंबर 2 को एक निगेटिव वैल्यू असाइन करें, यानी इसे एड्रेस बार 2 बाय -2 में फिक्स करें। देखें कि क्या हुआ है।



पुस्तक के कवर के साथ तस्वीर गायब हो गई, लेकिन ये सभी नंबर दिखाई दिए - यह डेटाबेस तालिका में कॉलम संख्याएं हैं। चलो, मुझे संख्या बताओ! दो? खैर, इसे 2 रहने दो। मैं "उपयोगकर्ता" शब्द के साथ अनुक्रम में 2 को प्रतिस्थापित करता हूं, और अब पृष्ठ पर पुस्तक नाम 2 के बजाय उपयोगकर्ता डीबो दिखाई देता है।



अगर मैं नंबर 3 पर जाऊं तो क्या होगा? साथ में मैं नंबर 3 @@ संस्करण लिखूंगा। देखें कि अब हमें पेज पर क्या मिला है?



ठीक है अब लोग मेरी मदद करें! क्या अब हम कह सकते हैं कि हमारे पास SQL ​​इंजेक्शन है?



फिर भी कुछ नहीं! सुरक्षा प्रणाली को कोई SQL इंजेक्शन नहीं दिखता है।

मैंने अपना सुरक्षा करियर एक आईडीएस घुसपैठ घुसपैठ प्रणाली विश्लेषक के रूप में शुरू किया। यह एक भयानक जीवन था, आपको पूरे दिन पैकेजों के अवरोधों को देखना था, और शायद, शायद, शादी से ज्यादा कुछ नहीं था, इसलिए यह आपको अपने सिर में एक गोली लगाने के लिए मजबूर नहीं करता है।

मेरा मतलब है, मैं दूसरों की तरह था, मैंने पूरे दिन देखा कि यह बहुत बुरा था, और जब आप इन चीजों को देखना शुरू करते हैं जो आपके पास से गुजरती हैं, तो यह बस लुभावनी है, यह पागल है।

तो चलिए बताते हैं कि हम कुछ दिलचस्प करने जा रहे हैं। हो सकता है कि मैं इसे यहां से निकाल दूं, इसे यहां कॉपी और ड्रैग करूं। इसलिए, मैं एड्रेस बार में डेटाबेस वर्जन, सर्वर नाम सम्मिलित करता हूं, फिर master.sys.fn_varbintohexstr (password_hash) - कुछ भी रोचक, सही नहीं है?



अब हमें पृष्ठ पर ऐसे डेटा मिलते हैं, और मुझे लगता है कि शीर्ष पंक्ति हमारे लिए उपयोगी होगी।



महत्वपूर्ण बात यह है कि हम यह पता लगा सकते हैं कि हमारे निपटान में आईडीएस महान चीज है! तो मेरे साथ कौन है? तत्काल इन कार्यक्रमों में से एक को चलाएं और खरीदें!

स्क्रीन से पता चलता है कि प्रोग्राम ने फिर से किसी SQL इंजेक्शन का पता नहीं लगाया।



यह सिर्फ एक शानदार कार्यक्रम है, यह हमारे विचार से भी बेहतर है, क्योंकि यह इन सभी बेकार उपयोगकर्ता लॉग्स को संकलित कर सकता है जो कभी किसी को नहीं दिखता है, और यह अच्छा है! ठीक है, मान लीजिए कि हम कुछ दिलचस्प करते हैं। हम इन मापदंडों का उपयोग करते हैं: 1 = 1, 1 = 2 और 1 * 1। एक के बराबर है? हां। क्या एक दो के बराबर है? नहीं, नहीं के बराबर। लेकिन हमें यह देखने की ज़रूरत है कि क्या सही पृष्ठ पर परिवर्तन जो हम कहना चाहते हैं, "एनुमुर्ट" हैं।



मैं एड्रेस बार में पहली पंक्ति 1 = 1 के मापदंडों को कॉपी और पेस्ट करता हूं, पृष्ठ को देखता हूं, फिर इस अभिव्यक्ति को 1 = 2 में बदल देता हूं। यदि पृष्ठ कुछ "बेईमान" तरीके से बदलता है - जैसा कि आप देख सकते हैं, यह वास्तव में बदल गया है - तो इसके आधार पर, एक प्रोग्रामिंग दृष्टिकोण से, मैं यह निष्कर्ष निकाल सकता हूं कि एक SQL इंजेक्शन है। क्योंकि अगर मैं 1 = 1 और 1 = 2 का उपयोग करता हूं, तो मैं इसे इस प्रकार ले सकता हूं: “ठीक है, अगर मैं उपयोगकर्ता नाम dbo और 1 = 1 लेता हूं, क्योंकि निर्देशों के अनुसार, यदि उपयोगकर्ता नाम dbo और 1 = 1 है, तो हमें मिलता है सही पृष्ठ, और इसके लिए धन्यवाद मुझे पता है कि उपयोगकर्ता नाम वास्तव में डीबीओ है। " क्या यह स्पष्ट है? खैर, आईडीएस टैब पर फिर से देखो - कोई खतरा नहीं! मैं कहता हूं कि यह एक अद्भुत उत्पाद है।
. . , ? , . , . «1 - 1».



– . , , . « ? – , ! – , ? – , ! – , «»?» , .

25:50

HACKTIVITY 2012. : . भाग २

:)

, . ? ? , , VPS $4.99 , entry-level , : VPS (KVM) E5-2697 v3 (6 Cores) 10GB DDR4 480GB SSD 1Gbps $19 ? ( RAID1 RAID10, 24 40GB DDR4).

Dell R730xd 2 - Equinix Tier IV ? 2 Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 $199 ! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg बनाने के तरीके के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?