Web Application Hacking

eksempel på en database, der voksede for hurtigt, med lidt tanke til sikkerheden. Selvom Oracles seneste "ubrydelige" -kampagnen vendte nogle hoveder, en række Oracle sårbarheder dukket.

vi nødt til at diskutere et par vigtige begreber, som vedrører begge leverandører.

SQL Forgiftning

SQL-forgiftning er en teknik, der først kom til ved en ærlig fejltagelse og kan findes i ethvert miljø med en SQL back-end-databasen (Microsoft SQL Server, Oracle, Access, og så videre).

Vi er sikker på det ikke var tilsigtet, men nogen, et eller andet sted (ikke nødvendigvis en hacker), skrevet forkert en URL eller ubevidst indsat et ekstra tegn i URL'en, hvilket får online ansøgning til at sende falske data til databasen, der producerer en fejl- eller værre, de forkerte data.

Denne teknik er farligt og allestedsnærværende, bidrager enormt til nogle af de mest omfattende web-hacks. Det giver også angriberen at være næsten usynlig til netværk-baserede intrusion detection produkter

Der er to typer af SQL forgiftning at overveje:.

(1) data producerer og

(2) fejl producere. Fordi begge teknikker er farlige, de er værdige til alvorlig overvejelse i ansøgningen design.

Data Producerer

Med data producerer angreb, angriberen udnytter en svaghed i webprogrammet designet til at passere standard SQL strenge til designet SQL forespørgsel, og derved omgå den tilsigtede effekt og producerer yderligere data.

Fejl Producere

Med fejl producerer angreb, er målet ikke nødvendigvis at omgå kontrolmekanismerne på plads at opnå uautoriserede data (selvom det er et af de biprodukter), men snarere at vise værdifulde konfigurationsoplysninger.