Web Application Hacking

tions à l'intérieur réside. Malheureusement, la sécurité est assez étranger au monde de base de données. En conséquence, de nombreuses vulnérabilités existent dans une installation standard et beaucoup d'autres vont faire surface dans les années à venir.

Les bases de données primaires utilisées dans l'e-commerce aujourd'hui sont le Microsoft SQL Server et Oracle. Le Microsoft SQL Server est un excellent exemple d'une base qui a grandi trop vite, avec peu d'attention à la sécurité.

Bien que récente "incassable" campagne d'Oracle tourné quelques têtes, un certain nombre de vulnérabilités Oracle surface.

nous devons discuter d'un couple de concepts importants qui concernent à la fois les fournisseurs.

SQL Empoisonnement

intoxication SQL est une technique qui a vu le premier par une erreur de bonne foi et peut être trouvé dans un environnement avec une base de données back-end SQL (Microsoft SQL Server, Oracle, Access, etc.).

Nous sommes sûrs que cela n'a pas été intentionnelle, mais quelqu'un, quelque part (pas nécessairement un hacker), mal tapé une URL ou non inséré un caractère supplémentaire dans l'URL, entraînant l'application en ligne pour envoyer de fausses données à la base de données, la production d'un error- ou pire, les données erronées

. Cette technique est dangereux et omniprésent, contribuant énormément à certains des hacks Web les plus élaborés.

Il permet également à l'attaquant d'être presque invisible au réseau à base de produits de détection d'intrusion

Il existe deux types d'intoxication SQL à considérer:.

(1) de production de données et

(2) la production d'erreur. Parce que les deux techniques sont dangereux, ils sont dignes de considération sérieuse dans la conception de l'application.

Données Produire

Avec données produisant des attaques, l'attaquant tire avantage d'une faiblesse dans la conception d'applications Web pour passer la norme chaînes SQL à la requête SQL conçu, contournant ainsi la sortie destinée à produire des données supplémentaires et.

Erreur Produire

Avec les attaques production d'erreur, l'objectif est pas nécessairement pour contourner les mécanismes de contrôle en place pour obtenir des données non autorisées (bien que ce soit l'un des sous-produits), mais plutôt pour afficher des informations de configuration précieux.