การบรรยายครั้งนี้และการบรรยายครั้งต่อไปเราจะพูดถึงช่องโหว่ยอดนิยมที่เรียกว่า Escurial
injections
ก่อนที่เราจะเริ่มพูดคุยเกี่ยวกับสิ่งที่เกิดขึ้นและวิธีการใช้ประโยชน์ก่อนอื่นให้เรามาเรียนรู้ว่าการรักษาความปลอดภัยนั้นเป็นอย่างไรถ้าคุณเป็นเด็กฝึกงานในบางเว็บไซต์โอกาสเว็บไซต์นี้จะใหญ่กว่าเว็บไซต์เล็ก
ๆ เล็กน้อย
ดังนั้นมันอาจจะใช้ในฐานข้อมูล
เว็บไซต์ส่วนใหญ่อื่น ๆ นอกเหนือจากเว็บไซต์ที่ง่ายมากใช้ฐานข้อมูลและฐานข้อมูลที่ใช้ในการจัดเก็บข้อมูล
ดังนั้นจึงมีชื่อผู้ใช้รหัสผ่านบทความข่าวบล็อกโพสต์ภาพทุกอย่างที่เกิดขึ้นบนเว็บไซต์จะถูกจัดเก็บไว้ในฐานข้อมูลและเว็บแอปพลิเคชั่นซึ่งอยู่ในฐานข้อมูลแล้วแสดงข้อมูลให้คุณ จะอัปเดตลบหรือแก้ไขข้อมูลที่มีอยู่ในฐานข้อมูลการโต้ตอบนี้ระหว่างเว็บแอปพลิเคชันและฐานข้อมูล
เกิดขึ้นโดยใช้ภาษาที่เรียกว่าขอให้คุณออก
ดังนั้นให้ฉันแสดงสิ่งที่ฉันหมายถึงโดยฐานข้อมูล
นี่เป็นเพียงตัวอย่าง
ฉันไม่แฮ็คอะไรเลย
แท้จริงฉันจะเข้าสู่ระบบฐานข้อมูลที่ติดตั้งในเครื่องทางการเมืองของเราแล้วเราจะเห็นว่ามีการจัดเก็บข้อมูลอะไรบ้าง
ดังนั้นฉันจะไม่แฮ็คใด ๆ
ไม่มีอะไรที่นี่
ไม่มีอะไรแฟนซีเพียงเข้าสู่ระบบขอความช่วยเหลือของฉัน
จากนั้นฉันกำลังใส่ชื่อผู้ใช้คือรูทและความสามารถในการใช้ของฉันไม่ได้ใช้รหัสผ่านสำหรับเดอะรูทซึ่งแย่มาก ๆ
ดังนั้นฉันจะเข้าสู่ระบบและฉันจะไม่แฮ็คข้อมูลใด ๆ
นี่เป็นเพียงเทอร์มินัลสำหรับฉันถามคุณว่าเว็บแอปพลิเคชันจะใช้เพื่อโต้ตอบกับฐานข้อมูล
ดังนั้นฉันแค่พยายามแสดงให้คุณเห็นว่าฉันหมายถึงอะไรโดยฐานข้อมูลและสิ่งที่บันทึกไว้ในพวกเขา
ดังนั้นสิ่งแรกที่ฉันจะทำคือฉันแค่พิมพ์ฐานข้อมูลการแสดงและมันจะแสดงฐานข้อมูลที่มีอยู่บนเซิร์ฟเวอร์เป้าหมายของเราและฉันจะเห็นว่าเรามีสคีมาข้อมูล
นี่คือฐานข้อมูลเริ่มต้นที่เก็บข้อมูลข้อมูลเริ่มต้นเกี่ยวกับฐานข้อมูลอื่นทั้งหมด
ดังนั้นอันนี้จะได้รับการติดตั้งโดยค่าเริ่มต้นเมื่อคุณตอบคำถามของฉันที่เหลือทั้งหมดได้รับการติดตั้งสำหรับแต่ละเว็บแอปพลิเคชันเพื่อให้เราเห็นว่าเรามี 140
เรามีหนึ่งสำหรับเรา 10 และนั่นคือสำหรับหนึ่งนี้ตลอดทั้งวัน
นอกจากนี้เรายังมีหนึ่งเรียกว่า Masquerier ดีเรามีหนึ่งเรียกว่านาง
ฟลอยด์และอีกอันสำหรับ
VW ซึ่งเป็นอันที่เราใช้งานเว็บแอพพลิเคชั่นเพื่อที่คุณจะได้เห็นแต่ละเว็บแอปพลิเคชั่นที่เรามีฐานข้อมูลจริง
ฉันจะแสดงให้คุณเห็นว่ามีอะไรอยู่ในนั้นฉันจะใช้ฐานข้อมูลเทิร์นสุดท้าย
นี่คืออันที่เป็นอีกครั้งนี่คือวันของแมทเทลสำหรับเว็บแอปพลิเคชัน
และเราสามารถเห็นตารางดังนั้นมันจึงเป็นฐานข้อมูลเป็นตาราง
ตารางและตารางมีข้อมูล
ดังนั้นฉันจะบอกว่า Joe
ตารางเพื่อดูตารางที่เรามีและคุณสามารถเห็นเรามีตารางสำหรับบัญชีของเราเพื่อให้คุณสามารถสมมติว่าตารางนี้มีข้อมูลเกี่ยวกับชื่อผู้ใช้รหัสผ่านและข้อมูลเกี่ยวกับผู้ใช้
เรามีตารางสำหรับบล็อก
ดังนั้นอาจมีบล็อกและใส่โพสต์และความคิดเห็นในนั้น
คุณสามารถดูข้อมูลการจับภาพบนบัตรเครดิต
ดังนั้นจึงมีตารางที่มีบัตรเครดิต
ตอนนี้มีขนาดใหญ่สำหรับเว็บไซต์ช้อปปิ้ง
พวกเขาจะมีบัตรเครดิตจริงและข้อมูลสำหรับบัตรเครดิตจะถูกเก็บไว้ที่นั่น
โดยทั่วไปฐานข้อมูลจะจัดเก็บข้อมูลทุกอย่างที่ใช้บนเว็บไซต์เพราะจะไม่เริ่มต้นใช้งานไฟล์
มันไม่มีประสิทธิภาพ
ถ้าอย่างนั้นเรามาดูการเลือกบัญชีกันดีกว่า
ดังนั้นนี่คือวิธีที่เว็บแอปพลิเคชันจะดึงข้อมูลจากฐานข้อมูล
มันจะถูกเลือกแทนการอัพเดตหรือลบ
ดังนั้นฉันจึงเลือกคำสั่งที่นี่
อีกครั้งนี่ไม่ใช่การแฮ็คฉันไม่ได้ทำอะไรเลยเพียงแค่รวบรวมสิ่งของ
ฉันจะเลือกดาวซึ่งหมายความว่าทุกอย่างจากบัญชีเป็นค่าธรรมเนียมและอย่างที่เราเห็นว่าเราจะได้
เรามี ID บัญชีชื่อผู้ใช้รหัสผ่านและลายเซ็นสำหรับบุคคล
และถ้าคนนั้นเป็นเตาอบ
ตอนนี้คอลัมน์เหล่านี้ขึ้นอยู่กับตารางดังนั้นจริงๆแล้วคนที่ออกแบบฐานข้อมูลจะออกแบบตารางในคอลัมน์เช่นกัน
จากนั้นข้อมูลจะถูกแทรกโดยแอปพลิเคชันงาน
ดังนั้นคุณจะเห็นว่าเรามีผู้ใช้ชื่อผู้ดูแลระบบและรหัสผ่านของพวกเขาคือผู้ดูแลระบบผ่าน
เราจะเห็นว่าเรามีผู้ใช้ชื่อ Adrian และรหัสผ่านของพวกเขาเป็นรหัสผ่านเดียวกัน
ดังนั้นนี่เป็นเพียงการแสดงให้คุณเห็นว่าฐานข้อมูลมีลักษณะอย่างไรและเพื่อให้ได้รับความรู้สึกเพราะในวิดีโอในอนาคตเราจะพยายามใช้ประโยชน์จากฐานข้อมูลเหล่านี้และเข้าถึงแบบนี้
ดังนั้นฉันเพิ่งเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่าน
ตอนนี้โดยปกติคุณจะไม่สามารถเข้าถึงได้เช่นนี้ในเว็บผู้ดูแลระบบจะมีการเข้าถึงนั้นและวิดีโอในอนาคตที่เราจะพยายามโจมตีเพื่อที่จะได้รับการเข้าถึงแบบนี้
เพื่อให้เราสามารถอ่านเนื้อหาและดูว่าเราสามารถเขียนหรือแก้ไขสิ่งต่าง ๆ ได้หรือไม่