Oke jadi mari kita tingkatkan tingkat keamanan ke tingkat keamanan tinggi yang cukup aman sehingga
terkadang bisa dilewati, terkadang dilewati.
Dan dalam kuliah ini saya sebenarnya hanya akan menyoroti sesuatu untuk Anda.
Jadi mari kita coba dan gunakan exploit yang sama yang kita gunakan sebelumnya.
Jadi jika kita menyalin ini dan kita akan mengaktifkan interceptor kita dan hanya saya akan meletakkan nama pengguna dan kata sandi yang
normal untuk ini
sekarang dan kemudian kita akan mencegatnya di sini dan memodifikasinya seperti yang kita lakukan sebelumnya video.
OK sekarang kita akan melakukannya.
Dan seperti yang Anda lihat, ini memberi tahu kami ada nama pengguna dan kata sandi yang buruk jadi jelas ini lebih aman.
Dan sebenarnya dalam kasus khusus ini di halaman ini ini tidak dapat disuntikkan lagi dengan tingkat
keamanan ini.
Itu tidak menerapkan praktik keamanan terbaik tetapi untuk kasus khusus ini cukup aman.
Jadi saya akan punya.
Kami akan memeriksanya dengan cepat, tetapi itu bukan cara terbaik untuk mengamankan situs web Anda sehingga kami
akan berbicara tentang bagian keamanan di akhir bagian ini.
Dan kita akan berbicara tentang cara terbaik untuk mengamankan diri Anda dari suntikan yang aman.
Tetapi untuk saat ini hal ini perlu diperhatikan karena ini adalah implementasi yang cepat dan jika Anda tahu
apa yang Anda lakukan, Anda dapat memperbaiki masalah Anda dengan cepat katakan misalnya jika Anda memiliki
masalah dan Anda tidak memiliki cukup waktu untuk mengubah implementasi ke cara paling aman yang
akan kita bicarakan nanti maka Anda bisa melakukannya dengan cepat hanya agar Anda cukup aman sampai Anda
dapat menerapkannya dan mengubah kode menjadi lebih aman.
Jadi apa yang mereka lakukan di halaman ini sekarang.
Ini tidak selalu mengamankan Anda 100 persen lagi, tetapi dalam kasus khusus ini aman.
Jadi ini adalah kode untuk masuk dan di sini kita memiliki kasus yang arogan atau nomor satu
Keamanan.
Dan di sini kita memiliki kode untuk tingkat keamanan lima.
Jadi, Anda dapat membandingkan dua kode.
Perbedaan utama utama adalah pernyataan pilih ini.
Jadi saya akan menghapus semuanya dan saya hanya akan menyimpan dua pernyataan
terpilih ini sehingga kita dapat membandingkannya.
OK jadi Anda bisa melihat di sini dalam pernyataan yang tidak terlalu aman yang kami pilih mulai dari akun di mana nama
pengguna adalah nama pengguna dolar dan kata sandi adalah kata sandi dolar.
Jadi pada dasarnya apa pun yang Anda masukkan ke dalam kotak teks untuk nama pengguna dan kata sandi digunakan secara langsung di
sini.
Sekarang ada penyaringan situs klien dan kami dapat memotong menggunakan proxy
Jadi, apa pun yang kami masukkan dalam proxy sedang diganti di sini.
Jadi kita dapat mengubah kode dengan menetapkan nama pengguna sama dengan atau satu sama dengan satu lalu
kami menambahkan komentar.
Jadi pada dasarnya apa yang terjadi dalam pernyataan ini di sini alih-alih nama pengguna yang diganti.
Jadi apa pun yang kita masukkan di sini diganti.
Dan nilai ini disuntikkan.
Jadi ini diubah menjadi kutipan dan kemudian atau satu sama dengan satu komentar dan semua ini pada dasarnya diabaikan semua yang
datang setelah ini diabaikan yang membuat pernyataan kami berfungsi.
Jadi, seperti yang Anda lihat di sini, kutip kutipan yang sudah dimasukkan lalu kami tambahkan atau apa
yang sama dengan yang merupakan pernyataan yang benar.
Kami menempatkan nama pengguna adalah Ogmund. Sebenarnya itulah yang kami lakukan sehingga ini akan menjadi admen juga di sini jadi pada dasarnya itu memilih apa pun di mana
nama pengguna sama dengan admin dan tidak peduli dengan kata sandi yang memberi
kami akses ke akun admin.
Sekarang kita bisa menyuntikkan juga kata sandi atau satu sama dengan satu.
Lagi-lagi itu memberi kita pernyataan yang benar.
Dan ini dieksekusi dalam kasus khusus ini di sini dalam kasus aman.
Apa yang mereka lakukan adalah mereka melakukan fungsi yang disebut string scape nyata.
Dan apa yang dilakukan ini pada dasarnya menghilangkan karakter seperti karakter baris baru karakter istirahat
dan kutipan atau kode tunggal atau kode ganda sehingga memindai.
Ini memindai input yang kami letakkan di sini dan menghapus semua kutipan yang kami masukkan.
Jadi kami menempatkan kode tunggal di sini atau ketika kami dimasukkan ke dalam kode ganda dan menghapusnya.
Jadi ketika bergerak itu pada dasarnya menjadikan semua yang ada di dalamnya sebagai kekuatan.
Masalah lain dengan ini sekarang.
Saya mengatakan ini hanya aman dalam kasus khusus ini karena mereka juga ada dalam kutipan di
sini sebelum dan sesudah input.
Jadi jika tidak ada kutipan maka injeksi suntikan kami apa yang perlu kami injeksi tidak perlu
mengandung kutipan dan bahwa kami akan dapat mem-bypass fungsi ini tetapi karena mereka menggunakan mereka sebenarnya sulit dalam
kutipan di sini di sini dan di sini di sana di akhir di awal dan di akhir input
dan kemudian mereka juga lolos dari sebab apa pun.
Jadi, jika input berisi kutipan yang dihapus, maka apa pun yang kami masukkan teks apa
pun yang Anda masukkan akan dianggap sebagai kekuatan.
Jadi itu hanya akan dianggap sebagai teks normal dan tidak akan pernah dianggap sebagai kode karena itu
tidak akan pernah dieksekusi di server.
Hanya dalam hal ini.
Jadi, mari kita punya contoh, jadi kita punya ID kita di sini.
Jadi ini suntikan yang selalu kami gunakan. Jadi, lupakan saja.
Jadi ini adalah nama pengguna kami di sini.
Jadi pada dasarnya apa yang terjadi adalah ini datang ke kode dan kemudian kode akan memindai ini dan
ia akan melihat bahwa ada kutipan di sini.
Dan karena ada kutipan itu akan menghapusnya.
Fungsi khusus ini akan menghapusnya.
Jadi setelah fungsi diterapkan ini akan hilang.
Dan juga fungsinya akan hilang.
Jadi seperti ini tampilannya kode ke komputer.
Inilah yang akan dilihat.
Ini pada dasarnya hanya akan menjadi strain normal yang terkandung dalam dua tanda kutip juga.
Jadi kita perlu memindahkan titik-titik di sini.
Dan perhatikan bahwa mereka sudah mengkodekan kedua kutipan ini.
Jadi karena itu injeksi kita tidak akan pernah berhasil.
Sekarang jika mereka tidak memasukkan kode-kode ini jika mereka tidak melukai mereka di sini jika mereka tidak ada
walaupun mereka menggunakan fungsi injeksi ini akan bekerja.
Tetapi karena mereka menggunakan kutipan apa pun yang akan masuk ke dalam kutipan akan
dianggap sebagai streng.
Dan karena mereka memeriksa bahwa input kita tidak boleh berisi tanda kutip di sisi server
maka apa pun yang kita tarik akan dilucuti dari kutipan dan itu tidak akan pernah dianggap sebagai kode.
Sekali lagi ini bukan cara terbaik untuk mengamankan situs web Anda.
Saya akan menjelaskan yang terbaik mengapa.
Pada kuliah terakhir bagian ini.
Tapi ini adalah cara yang baik untuk mengamankan situs web Anda sementara
Jika Anda tidak punya waktu untuk menerapkan prosedur yang tepat.