Шта је СКЛ убризгавање?
СКЛ убризгавање је техника убризгавања кода која се користи за нападање података вођених апликацијама уметањем злонамерних СКЛ изјава у поље извршења. База података је витални део сваке организације. Овим се бави обезбеђењем високог нивоа у организацији. Дознајмо прво шта је СКЛ.
Шта је СКЛ?
СКЛ је структурирани језик упита. Користи се за интеракцију и манипулирање базом података.
Шта СКЛ тачно ради?
- Креирајте нову базу података.
- Уметање, ажурирање, брисање записа.
- Креирајте нове упите.
- Складиштене процедуре.
- Креирајте приказе.
- Извршите упите.
- Подесите дозволе.
СКЛ ињекција је једна од главних безбедносних претњи. Ово спада под сајбер криминал.
У СКЛ-у имамо концепт који се зове СКЛ Ињецтион. Ова техника се користи за убризгавање кода. СКЛи (СКЛ ињекција је позната и као врста хаковања, тј. Напада убризгавања.) Такође је позната и као техника хакирања путем веба.
Ова ињекција убризгава злонамерни код у базу података уносећи веб страницу. Ови улази имају неке услове, који су увек тачни. Са овим условима, хакери лако пролазе сигурносне тестове. Могу лако добити податке из СКЛ базе података. Помоћу СКЛ Ињецтион могу додавати, мењати и брисати записе у бази података. Та база података може бити било ко међу МиСКЛ, СКЛ Сервер, Орацле, СКЛ Сервер итд. Је противзаконита.
Ако је веб локација или апликација лоше дизајнирана, ови напади могу наштетити целом систему. У овом тренутку, кибернетичка сигурност улази у слику.
Понашање СКЛ убризгавања
Ови напади углавном раде на динамичним СКЛ изјавама. СКЛ убризгавање зависи од мотора базе података. Ово се разликује од мотора до мотора. Када од корисника затражимо да на веб страници унесемо корисничко име као што су корисничко име и лозинка. Ненамјерно дајемо кориснику приступ да тај унос даје директно у базу података.
Врсте убризгавања СКЛ-а
- Ин-банд СКЛ убризгавање (Цлассиц СКЛ убризгавање): У овој техници хакер користи исти начин да хакује базу података и добије податке, тј. Резултате из базе података.
- СКЛ ињекција заснована на грешци: У овом типу хакер добија образац грешке базе података и приступа јој. Можемо рећи да је ово једна врста унутарњег опсега СКЛ убризгавања.
- Унија заснована на СКЛ-у: Ова техника је такође део уграђене СКЛ ињекције. У овој техници, корисник комбинује упит и добија резултат као део ХТТП одговора.
- Инференцијална СКЛ ињекција (Слепо СКЛ убризгавање): Као што име сугерира, овде хакер не користи опсег за добијање података из базе података. Хакер има способност да промени структуру базе података посматрајући обрасце базе података. Ово је веома опасна врста СКЛ убризгавања. Овај напад захтева дуже време да се изврши. Хакери не могу да виде излаз напада овом техником.
- Бололе (засновано на садржају) Слепо СКЛ убризгавање: Ово је део Инференцијалне СКЛ ињекције. У овој се техници хакер присиљава на базу података да добије резултате засноване на истинитом или лажном стању. У зависности од овог стања резултат ХТТП одговора се мења. Ова врста напада на закључивање ако се употребљени корисни терет врати истинито или лажно, иако се подаци из базе података не враћају назад. Ови нарочито спори напади.
- Временско засновано слепо СКЛ убризгавање: Ова техника је такође део Инференцијалне СКЛ ињекције. Ову технику хакери користе за постављање корисних терета. У овој техници хакери дају време бази података да изврше упит. У међувремену, хакер има представу о резултату да ли је истинита или лажна. Овај процес напада је такође спорог карактера.
- С убризгавање ван опсега СКЛ: Ово је напад заснован на карактеристикама. То није баш уобичајено. Овај напад користи хакер када хакер треба да користи различите канале за напад и друге да би добио резултат. Технике убризгавања ван опсега СКЛ зависе од способности сервера базе података да поставља ДНС или ХТТП захтеве за испоруку података хакеру.
Како то функционише?
Постоје углавном два начина на која се нападач фокусира да добије податке:
- Директан напад: Директно коришћење комбинације различитих вредности. Овде је хакер ставио потврђени унос који даје тачан резултат.
- Истраживање: Анализа базе података давањем различитих уноса. Овде нападач посматра одговоре сервера базе података и одлучује који напад треба извршити.
Као што смо већ расправљали о СКЛ ињекционим хакерима, ставите стање у улазни елемент који је увек тачан. Молимо погледајте следећи пример.
ЕКС:
Претпоставимо да имамо следећи упит да бисмо добили податке о запосленима из базе података:
|
Изаберите * од запослених где је Усерид = '500'
ИД корисник :
Ако немамо никакво ограничење уноса корисника. Тада хакери могу да користе ово поље за лак приступ подацима из базе података.
А упит може изгледати испод
Изаберите * од запослених где је Усер-ид = 500 ИЛИ 1 = 1;
Овај упит ће вратити податке из базе података јер ће 1 = 1 увијек бити истинит. На овај начин стање постаје тачно. Ово изгледа рањиво. Ово је веома опасно за организацију. На пример, размислите о банкарском сектору. Тамо где корисници имају своје нето податке о банкарским подацима, податке о билансу итд.
Ова техника је лако за хакера да добије информације. Једноставним давањем неких података у базу података.
Хакери добијају податке једноставним уметањем ИЛИ и = убацивањем у базу података.
Корисничко име:
"Или" "="
Лозинка:
"Или" "="
На серверу се крајњи упит исправно извршава и не појављује се грешка. Такође можете користити 'ОР' 1 '=' 1 да бисте добили податке са сервера базе података.
Сада се поставља питање како бисмо одржали сигурност наше базе података?
А одговор је користећи СКЛ параметре.
Додавањем додатних параметара у упиту када се извршава. Ови напади се лако могу спречити неким техникама доле.
Складиштене процедуре, припремљене изјаве, регуларни изрази, права приступа корисничкој вези везе базе података, поруке о грешци и сл. Су технике превенције .
Још једна ствар која би требало да помислимо такође је разумно имати различите базе података у различите сврхе у апликацији.
Још једна ствар је тестирање. Тестирање базе података за различита стања такође је најбољи начин.
Закључак
Стварање базе података је пресудно. Ризик од добијања информација у руци хакера није добар ни за једну апликацију. Дакле, док стварамо базу података морамо слиједити једноставне кораке да спријечимо овај губитак, за то је прикладна фраза „Превенција је боља него лијечење“.
Препоручени чланци
Ово је водич за Шта је СКЛ убризгавање. Овдје смо разговарали о понашању, како то ради и врсте СКЛ убризгавања. Можете и да прођете кроз друге наше предложене чланке да бисте сазнали више -
- Шта је СКЛ Сервер?
- Шта је СКЛ | Објашњени језик упита
- Шта је СКЛ Девелопер?
- Ажурирање СКЛ наредби
- Редовне изразе у Јави