Ata
Intern
- 21 април 2007
- 418
- 15
SQL нападите главно се базираат на измами при формирањето на SQL прашањата. Притоа тие начесто се изведуваат преку веб. Има доста веб сајтови на кои за да пристапите до одреден дел или област на сајтот треба да внесете корисничко име и лозика, а за да се регистрирате треба да платите одредена сума на пари, под претпоставка дека делот во кој ќе ви биде дозволен пристап содржи важни и корисни инормации.
Главно вака би изгледало едно регуларно најавување:
1. Доаќате до веб сајтот каде што треба да ги внесете вашето корисничко име и лознка.
2. Вие внесувате:
User=Ajet
Pass=MyPass
3. Внесените податоци потоа се праќаат до Веб серверот со кои потоа се прави SQL прашање од типот:
"SELECT * FROM tblCustomers WHERE USER='Ajet' and PASS='MyPass'"
4. Базата враќа резултат кој се користи во алгоритмот кој се користи за да се определи дали да ви се дозволи пристап. Потоа на корисникот или му е дозволен пристап(ако е пронајден резултатот) или се праќа поново во делот за логирање(ако резултатот не е пронајден).
И сето ова изгледа супер, меќутоа едно најавување може да изгледа и вака:
1. Доаќате до веб сајтот каде што треба да ги внесете вашето корисничко име и лознка.
2. Вие внесувате:
User=' or ''
Pass=' or ''
3. Внесените податоци потоа се праќаат до Веб серверот со кои потоа се прави SQL прашање од типот:
"SELECT * FROM tblCustomers WHERE USER='' or '' and PASS=''or ''
4. Базата враќа резултат кој се користи во алгоритмот кој се користи за да се определи дали да ви се дозволи пристап. Потоа на корисникот или му е дозволен пристап( ако е пронајден резултатот) или се праќа поново во делот за логирање(ако резултатот не е пронајден). Меѓутоа во овој случај пристапот сигурно ќе ви биде дозволен, затоа што базата ќе врати листа на сите корисници.
Сепал постои решение и на овој напад (измама), со тоа што ќе се оневозможи внесување на знакот „ ' “ во полето за најавување.
Но ова е само еден пример. Идејата не беше дали може да се изведе секаде или не, пошто идејата на целата оваа дискусија не е некој да се охрабри да прави такви работи туку да се запознае со одредени техники и методи кои ги користат хакерите, за подобро да се заштити себеси и компанијата во која равоти.
Има многу вакви поопасни напади со помош на користење на трикови при креирање на SQL прашањата. Па така може да се внесуваат цели табели, вредности, да се апдејтираат полиња и редици во табелите, да се бришат и што уште не.
Главно вака би изгледало едно регуларно најавување:
1. Доаќате до веб сајтот каде што треба да ги внесете вашето корисничко име и лознка.
2. Вие внесувате:
User=Ajet
Pass=MyPass
3. Внесените податоци потоа се праќаат до Веб серверот со кои потоа се прави SQL прашање од типот:
"SELECT * FROM tblCustomers WHERE USER='Ajet' and PASS='MyPass'"
4. Базата враќа резултат кој се користи во алгоритмот кој се користи за да се определи дали да ви се дозволи пристап. Потоа на корисникот или му е дозволен пристап(ако е пронајден резултатот) или се праќа поново во делот за логирање(ако резултатот не е пронајден).
И сето ова изгледа супер, меќутоа едно најавување може да изгледа и вака:
1. Доаќате до веб сајтот каде што треба да ги внесете вашето корисничко име и лознка.
2. Вие внесувате:
User=' or ''
Pass=' or ''
3. Внесените податоци потоа се праќаат до Веб серверот со кои потоа се прави SQL прашање од типот:
"SELECT * FROM tblCustomers WHERE USER='' or '' and PASS=''or ''
4. Базата враќа резултат кој се користи во алгоритмот кој се користи за да се определи дали да ви се дозволи пристап. Потоа на корисникот или му е дозволен пристап( ако е пронајден резултатот) или се праќа поново во делот за логирање(ако резултатот не е пронајден). Меѓутоа во овој случај пристапот сигурно ќе ви биде дозволен, затоа што базата ќе врати листа на сите корисници.
Сепал постои решение и на овој напад (измама), со тоа што ќе се оневозможи внесување на знакот „ ' “ во полето за најавување.
Но ова е само еден пример. Идејата не беше дали може да се изведе секаде или не, пошто идејата на целата оваа дискусија не е некој да се охрабри да прави такви работи туку да се запознае со одредени техники и методи кои ги користат хакерите, за подобро да се заштити себеси и компанијата во која равоти.
Има многу вакви поопасни напади со помош на користење на трикови при креирање на SQL прашањата. Па така може да се внесуваат цели табели, вредности, да се апдејтираат полиња и редици во табелите, да се бришат и што уште не.
