ตกลงดังนั้นขอเพิ่มระดับความปลอดภัยเป็นความปลอดภัยสูงซึ่งค่อนข้างปลอดภัยดังนั้นบางครั้งมันสามารถข้ามได้ในบางครั้งก็สามารถข้ามได้
และในการบรรยายครั้งนี้ฉันแค่จะเน้นบางสิ่งสำหรับคุณ
ดังนั้นเรามาลองใช้ช่องโหว่แบบเดียวกันกับที่เราเคยใช้กันมาก่อน
ดังนั้นถ้าเราคัดลอกสิ่งนี้และเราจะเปิด interceptor ของเราและฉันจะใส่ชื่อผู้ใช้และรหัสผ่านปกติตอนนี้จากนั้นเราจะทำการสกัดกั้นที่นี่และแก้ไขเหมือนที่เราทำก่อน
วีดีโอ
ตกลงตอนนี้เรากำลังจะทำเช่นนั้น
และอย่างที่คุณเห็นมันกำลังบอกเราว่ามีชื่อผู้ใช้และรหัสผ่านที่ไม่ถูกต้องดังนั้นจึงมีความปลอดภัยมากกว่า
และในกรณีนี้ในหน้านี้ไม่สามารถฉีดได้อีกต่อไปในระดับความปลอดภัยนี้
มันไม่ได้ใช้แนวปฏิบัติด้านความปลอดภัยที่ดีที่สุด แต่สำหรับกรณีนี้มันปลอดภัยพอ
ดังนั้นฉันจะมี
เราจะดูอย่างรวดเร็ว แต่มันไม่ใช่วิธีที่ดีที่สุดในการทำให้เว็บไซต์ของคุณปลอดภัยดังนั้นเราจะพูดถึงส่วนความปลอดภัยที่ส่วนท้าย
และเราจะพูดถึงวิธีที่ดีที่สุดในการป้องกันตัวเองจากการฉีดยาที่ปลอดภัย
แต่สำหรับตอนนี้สิ่งนี้เป็นสิ่งที่ควรสังเกตเพราะเป็นการนำไปปฏิบัติอย่างรวดเร็วและหากคุณรู้ว่าคุณกำลังทำอะไรคุณสามารถแก้ไขปัญหาของคุณได้อย่างรวดเร็วพูดเช่นหากคุณมีปัญหา วิธีที่ปลอดภัยที่สุดที่เราจะพูดถึงในภายหลังจากนั้นคุณสามารถทำได้ด้วยวิธีนี้อย่างรวดเร็วเพื่อที่คุณจะได้มีความปลอดภัยเพียงพอจนกว่าคุณจะสามารถนำไปใช้และเปลี่ยนรหัสให้มีความปลอดภัยมากขึ้น
ดังนั้นสิ่งที่พวกเขากำลังทำในหน้านี้ในขณะนี้
สิ่งนี้ไม่ได้ทำให้คุณปลอดภัย 100% อีกต่อไป แต่ในกรณีนี้จะปลอดภัย
นี่คือรหัสสำหรับการเข้าสู่ระบบและตรงนี้เรามีกรณีที่เป็นความหยิ่งหรือความปลอดภัยหมายเลขหนึ่ง
และที่นี่เรามีรหัสสำหรับระดับความปลอดภัยระดับห้า
ดังนั้นคุณสามารถเปรียบเทียบทั้งสองรหัส
ความแตกต่างหลักที่สำคัญคือคำสั่งเลือกนี้
ดังนั้นฉันจะลบทุกอย่างและฉันจะเก็บงบเลือกทั้งสองนี้ไว้เพื่อให้เราสามารถเปรียบเทียบได้
ตกลงเพื่อให้คุณสามารถดูที่นี่ในคำสั่งที่ไม่ปลอดภัยมากเราเลือกเริ่มจากบัญชีที่ชื่อผู้ใช้เป็นชื่อผู้ใช้ดอลลาร์และรหัสผ่านคือรหัสผ่านดอลลาร์
ดังนั้นโดยทั่วไปสิ่งที่คุณใส่ในกล่องข้อความสำหรับชื่อผู้ใช้และรหัสผ่านจะถูกใช้โดยตรงที่นี่
ขณะนี้มีการกรองไซต์ลูกค้าและเราสามารถข้ามโดยใช้พร็อกซี
ดังนั้นสิ่งที่เราป้อนในพร็อกซีก็ถูกแทนที่ที่นี่
ดังนั้นเราสามารถให้เราสามารถปรับเปลี่ยนรหัสโดยการตั้งชื่อผู้ใช้เท่ากับหรือหนึ่งเท่ากับหนึ่งแล้วเราเพิ่มความคิดเห็น
ดังนั้นโดยทั่วไปสิ่งที่เกิดขึ้นในคำสั่งนี้ตรงนี้แทนที่จะเป็นชื่อผู้ใช้ที่ถูกแทนที่
ดังนั้นสิ่งที่เราใส่เข้าไปในที่นี่ก็ถูกแทนที่
และค่านี้ถูกฉีด
ดังนั้นนี่จึงเปลี่ยนเป็นเครื่องหมายคำพูดแล้วหนึ่งหรือเท่ากับหนึ่งความคิดเห็นและทั้งหมดนี้ถูกละเว้นโดยทั่วไปทุกอย่างที่เกิดขึ้นหลังจากสิ่งนี้ถูกเพิกเฉย
ดังนั้นอย่างที่คุณเห็นนี่ reclosed คำพูดที่แทรกแล้วเราเพิ่มหรือสิ่งที่เท่ากับหนึ่งซึ่งเป็นคำสั่งที่แท้จริง
เราใส่ชื่อผู้ใช้ว่า Ogmund จริงๆแล้วนั่นคือสิ่งที่เราทำดังนั้นนี่จะเป็น admen
เช่นกันที่นี่ดังนั้นโดยทั่วไปแล้วมันเป็นการเลือกสิ่งที่ชื่อผู้ใช้เท่ากับผู้ดูแลระบบและไม่สนใจรหัสผ่าน
ตอนนี้เราสามารถฉีดด้วยรหัสผ่านบอกหรือหนึ่งเท่ากับหนึ่ง
อีกครั้งมันทำให้เรามีคำสั่งที่แท้จริง
และนี่คือการดำเนินการในกรณีนี้ที่นี่ในที่ปลอดภัย
สิ่งที่พวกเขากำลังทำคือพวกเขากำลังทำหน้าที่ซึ่งเรียกว่าสตริง scape จริง
และสิ่งนี้จะเป็นการลบตัวอักษรเช่นอักขระขึ้นบรรทัดใหม่ตัวแบ่งและการอ้างอิงหรือรหัสเดี่ยวหรือรหัสคู่เพื่อให้สแกน
มันจะสแกนอินพุตที่เราใส่ตรงนี้และมันจะลบการเสนอราคาใด ๆ ที่เราใส่
ดังนั้นเราจึงใส่รหัสเดียวตรงนี้หรือตอนที่เราใส่รหัสคู่แล้วลบมันออก
ดังนั้นเมื่อมันเคลื่อนที่มันจะทำให้ทุกอย่างภายในเป็นจุดแข็ง
ปัญหาอีกประการหนึ่งของสิ่งนี้ในขณะนี้
ฉันบอกว่านี่ปลอดภัยเฉพาะในกรณีนี้เพราะพวกเขายังอยู่ในใบเสนอราคาที่นี่ก่อนและหลังการป้อนข้อมูล
ดังนั้นหากไม่มีใบเสนอราคาการฉีดแบบฉีดของเราสิ่งที่เราจำเป็นต้องใช้ในการฉีดจึงไม่จำเป็นต้องมีใบเสนอราคาและเราจะสามารถข้ามฟังก์ชั่นนี้ได้ ตรงนี้ในตอนท้ายตอนเริ่มต้นและตอนท้ายของอินพุทแล้วพวกมันก็จะหลบหนีด้วยสาเหตุใด
ๆ
ดังนั้นหากข้อมูลมีการอ้างอิงใด ๆ ที่พวกเขาลบแล้วสิ่งที่เราแทรกข้อความใด ๆ
ที่คุณใส่ในนั้นจะถือว่าเป็นจุดแข็ง
ดังนั้นจะถือว่าเป็นข้อความปกติเท่านั้นและจะไม่ถูกพิจารณาว่าเป็นรหัสดังนั้นจะไม่ถูกเรียกใช้งานบนเซิร์ฟเวอร์
เฉพาะในกรณีนี้
งั้นลองตัวอย่างกันเรามี ID ของเราตรงนี้
นี่คือการฉีดที่เราใช้อยู่ตลอดดังนั้นอย่าลืมใส่นี่
นี่คือชื่อผู้ใช้ของเราที่นี่
ดังนั้นโดยทั่วไปสิ่งที่เกิดขึ้นคือสิ่งนี้กำลังมาถึงโค้ดแล้วโค้ดจะสแกนสิ่งนี้และมันจะสังเกตเห็นว่ามีใบเสนอราคาอยู่ตรงนี้
และเนื่องจากมีใบเสนอราคาจึงจะลบมัน
ฟังก์ชั่นเฉพาะนี้จะลบออก
ดังนั้นหลังจากใช้ฟังก์ชั่นแล้วสิ่งนี้จะหายไป
และฟังก์ชั่นก็จะหายไป
นี่คือสิ่งที่มันดูเหมือนกับรหัสไปยังคอมพิวเตอร์
นี่คือสิ่งที่จะเห็น
มันจะเป็นเพียงสายพันธุ์ปกติที่มีอยู่ในเครื่องหมายคำพูดสองคำเช่นกัน
ดังนั้นเราต้องย้ายจุดที่นี่
และสังเกตว่าพวกเขายากที่จะเขียนรหัสคำพูดทั้งสองนี้แล้ว
ดังนั้นเนื่องจากการฉีดของเราจะไม่ทำงาน
ตอนนี้หากพวกเขาไม่ได้ใส่รหัสเหล่านี้หากพวกเขาไม่ได้ทำร้ายพวกเขาที่นี่หากพวกเขาไม่ได้อยู่แม้ว่าพวกเขาจะใช้ฟังก์ชั่นการฉีดนี้จะทำงาน
แต่เนื่องจากพวกเขาใช้เครื่องหมายคำพูดอะไรก็ตามที่จะเข้ามาในเครื่องหมายคำพูดจะถือว่าเป็น streng
และเนื่องจากพวกเขากำลังตรวจสอบว่าอินพุตของเราไม่ควรมีเครื่องหมายคำพูดอยู่ทางฝั่งเซิร์ฟเวอร์ดังนั้นสิ่งที่เราดึงมันจะถูกดึงออกจากคำพูด
นี่เป็นวิธีที่ดีที่สุดในการรักษาความปลอดภัยเว็บไซต์ของคุณ
ฉันจะอธิบายสาเหตุที่ดีที่สุด
ในการบรรยายครั้งสุดท้ายของส่วน
แต่นี่เป็นวิธีที่ดีในการรักษาความปลอดภัยเว็บไซต์ของคุณชั่วคราว
หากคุณไม่มีเวลาดำเนินการตามขั้นตอนที่เหมาะสม