1. ev
  2. Soru-cevap
  3. Web sitemi SQL enjeksiyon saldırıları için nasıl test edebilirim?

Web sitemi SQL enjeksiyon saldırıları için nasıl test edebilirim?

2008-10-10 16 views

cevap

14

sqlmap: SQL injection aracı

sqlmap aracı Python ile geliştirilmiş bir otomatik SQL enjeksiyon. Hedefi, web uygulamalarındaki SQL enjeksiyon güvenlik açıklarından yararlanmak ve yararlanmak için şeklindedir. hedef ana bilgisayarda bir veya fazla SQL enjeksiyonu algıladıktan sonra, kullanıcı, DBMS seans kullanıcı ve veritabanı almak, bir geniş arka uç veritabanı yönetim sistem parmak izi gerçekleştirmek için seçenekler çeşitli arasında tercih kullanıcıları numaralandırabilmesidir , şifre sağlama, ayrıcalıklar, veritabanları, tüm kullanıcı veya kullanıcının özel DBMS tablolarını/sütunlarını döküm, kendi kendi SQL SELECT deyimini çalıştırın, dosya sisteminde belirli dosyaları okuyun ve çok daha fazlası.

http://sqlmap.org

kaynak

2008-10-10 07:41:30

+1

sqlmap bir sömürü aracıdır, bu mümkün SQL Injection güvenlik açıkları için bir web sitesi tarayamıyorum. –

13

İşte

http://www.darknet.org.uk/2008/09/bsql-hacker-automated-sql-injection-framework/

Ayrıca komut yavrucak uygulama bulmak ve sitenize doğru tutun da mümkündür ... Bu kötü amaçlı yazılım içeriyor şüphelenmek için iyi bir neden var çünkü bağlanmamış, biri, SQL enjeksiyonu kullanmayı severler.

Ancak tüm bunları yapmak yerine, SQL enjeksiyonunu engelleyen bir kitaplık kullanmak daha basit ve kolay değil mi?

kaynak

2008-10-10 07:42:51

+5

Kütüphane bunları engellemek için söylese bile, onu kontrol etmek için çok sesim var. Tam bir kod incelemesi ve testinin yanı sıra kütüphanede hiçbir hata (veya arka kapı) olmadığını nereden biliyorsunuz? –

+0

@Vinko: Uygun bir kütüphane, tüm girdilerde veritabanı katmanının kaçış işlevini (mysql_real_escape_string) çağırır. Bu işlevler güvenlik için kapsamlı bir şekilde incelenir. –

+0

Bir kütüphaneyi ilk önce kontrol etmeden "düzgün" olduğunu nereden biliyorsunuz? Belli bir derecede paranoya sağlıklıdır. –

3

Ticari bir otomatik araç, McAfee'den 'dir. Sitenizi günlük olarak örterler ve yalnızca SQL enjeksiyonu değil, aynı zamanda sunucuda çalışan yazılımların açık ya da güvensiz sürümleri olmamalıdır.

kaynak

2008-10-10 07:49:03 MrZebra

+0

Ölü bir bağlantı gibi görünüyor (ana sayfaya yönlendiriyor). – kenorb

3

İlk olarak SQL enjeksiyon saldırılarına izin veren tekniklerin kullanılmasından nasıl kaçınılmalı?
Dinamik SQL yerine Hazırlanmış Deyimler kullanırsanız, altınsınız - SQL enjeksiyon saldırıları imkansız hale gelir ve önyükleme için daha iyi performans elde edersiniz! Hiçbir zaman kullanıcı tarafından sağlanan dizeyi dinamik SQL'de kullanmayın! Bu, belirli DB'nizin enjeksiyon saldırılarından güvenli olduğu tek yoldur. Hatta otomatik araçlar kör noktaları vardır - sonuçta onlar insanlar tarafından oluşturulan ediyoruz ...

Faydalı kaynak: Oracle Tutorial on Defending against SQL Injection Attacks

kaynak

2008-10-10 08:25:02 Galghamon

1

findbugs aracı statik analizi kullanılarak, Java kodunda potansiyel SQL enjeksiyon saldırıları tespit etmek için bazı desteği vardır. Esas olarak, giriş parametrelerinin, hazırlanan deyim parametreleri olarak kullanılmaktansa, SQL sorguları oluşturmak için kullanıldığı durumları arar.

kaynak

2008-10-10 08:40:12

4

SQL Injection 1.2 Gerçekten onların Firefox eklentisi kullanılmaz, ama bunlardan biri SQL enjeksiyon sorunları bulmak içindir.

kaynak

2008-10-10 11:01:25

+2

https://addons.mozilla.org/en-US/firefox/addon/7597/ Firefox eklentisinin bağlantısıdır. IMHO, SQL Enjeksiyonlarını test etmek için bulduğum en kolay araçtır. – Axeva

2

WebCruiser - Web güvenlik açığı tarayıcısı, yalnızca bir web güvenlik tarama aracı değil, aynı zamanda otomatik bir SQL enjeksiyon aracı, bir XPath enjeksiyon aracı ve bir cross-site scripting aracıdır!

kaynak

2010-08-12 04:24:21 Yale

İlgili konular

 İlgili konular