In diesem Vortrag werden wir uns das hohe Sicherheitsniveau ansehen und sehen, warum
es ein injizierbares ist.
Lasst uns zuerst gehen und meint, das Sicherheitsniveau sei zu hoch.
Jetzt gehe ich zurück zu meiner Skill-Injection und lass uns sicherstellen, dass die Seite zuerst funktioniert.
Ich werde einfach die Nummer eins setzen, wie wir es immer getan haben.
Und wie Sie jetzt sehen können, funktioniert die Seite.
Jetzt versuchen wir, es nach dem Parameter nach dem ID-Parameter einzufügen, wie wir es immer getan haben, und ich werde
einen setzen, und einer ist gleich eins, also setze ich eine zutreffende Aussage.
Und wie Sie jetzt sehen, funktioniert die Seite nicht wirklich.
Versuchen wir also, hier ein einzelnes Zitat zu setzen, um es zu schließen, wie wir es mit dem niedrigen Niveau getan haben.
Und wieder funktioniert diese Injektion auch nicht, obwohl wir eine wahre Aussage erhalten haben,
die die aktuelle Anfrage nicht beeinträchtigen sollte.
Normalerweise sehen wir uns den Code nicht an, wenn wir versuchen zu hacken, aber wie gesagt, dies ist ein injizierbares.
Schauen wir uns den Code an und vergleichen ihn mit dem Code, der für die mittlere Sicherheitsstufe
verwendet wird. Wir werden sehen, was der Unterschied zwischen den beiden Codes ist, damit wir lernen können, wie wir
unsere Websites schützen.
Also werde ich die Sicherheitsstufe hier in Mittel suchen und ändern, nur damit
wir die beiden Codes vergleichen können, und ich werde zurück zum Skill-Injection gehen und auch die Quelle ansehen.
Und Gott stellte sie nebeneinander.
Hier in der mittleren Sicherheitsstufe können Sie also sehen, dass die Idee hier eingelesen und in der
ID-Variable installiert wird.
Und dann gibt es eine App-Funktion namens my Eskew, die echte Flucht.
Bei dieser Funktion werden also alle Zeichen in der ID-Variablen durchlaufen, und es werden Sonderzeichen
wie einfache Anführungszeichen und Anführungszeichen gesucht und entfernt.
Daher werden in dieser ID verwendete oder in die ID-Variable eingefügte Anführungszeichen tatsächlich in dieser Zeile
entfernt, da ich die tatsächliche Fluchtbelastung verborgen habe.
Sobald wir uns mit der Skills-Anweisung befassen, werden Sie feststellen, dass
wir keine Anführungszeichen verwenden müssen, um Code in die Anweisungen
einzufügen ICH WÜRDE.
Wir müssen also keine Anführungszeichen schließen.
Wir müssen keine Anführungszeichen in die ID-Variable einfügen.
Alles, was wir tun müssen, ist, einfach jede Idee wie im letzten Video zu verwenden, damit wir einfach die Nummer
eins einsetzen und dann direkt nach der Nummer 1 Code einfügen können.
Wenn wir diesen Code hier verwenden, haben wir im Grunde keine Anführungszeichen in den Medien verwendet.
Wir geben also die ID buchstäblich als Nummer eins an.
Und dann sagen wir, dass der Name der Union-Auswahlspalte aus den Informationsschematabellen ausgewählt wird.
Der Code wurde also direkt nach der ID eingefügt, und die Datenbank wird ihn lesen
und ausführen.
Es ist nicht notwendig, Anführungszeichen erneut zu verwenden, da der Code keinen einzelnen Code verwendet. Der Code
besagt, dass die Benutzer-ID der ID entspricht.
Wenn Sie dies nun mit dem Code vergleichen, den wir für die hohe Sicherheitsstufe haben,
werden Sie feststellen, dass er dieselbe Funktion zum Überspringen von Sonderzeichen verwendet, jedoch auf die richtige Weise implementiert.
Das ist durch die Verwendung von einfachen Anführungszeichen in der Escurial-Anweisung um die Idee. Daher wird der Code in den
Anführungszeichen, die wir einfügen, beibehalten, und weil er Anführungszeichen verwendet, wird jeder Code, den wir hier
einzufügen versuchen, tatsächlich so betrachtet, als wäre er es Teil der ID.
Wenn wir diesen Code also hier verwenden, also wenn wir den Code so verwenden, wie er ohne
Anführungszeichen ist, wird er offensichtlich anstelle der ID-Variablen zwischen den beiden einfachen Anführungszeichen eingefügt.
Es wird also nur als ID betrachtet.
Wenn wir diesen Code hier einfügen, wird er tatsächlich als Teil der Kill-Anweisung ausgeführt.
Werfen wir also einen Blick darauf, wie die schiefgelegte Anweisung aussehen wird, wenn wir unseren Code sowohl in den Medien
als auch in der hohen Sicherheitsstufe einfügen.
Ich werde also nur die Techniker hier runterbringen, so dass wir die beste Aussage für das Medium hier
und die Skill-Aussage für das hohe Sicherheitsniveau haben gesehen, wenn Sie das injizieren können, dann können
Sie alles, was Sie wirklich wollen, injizieren und in der Datenbank
ausführen lassen.
OK.
Wenn wir uns die Anweisung medium anschauen, werden wir diesen Code kopieren.
Jetzt wird dieser Code tatsächlich durch meinen Fluchtcharakter gehen.
Es wird also aus jedem einzelnen Code entfernt, den es enthält, aber es hat nichts und der Code wird wie ein
Code aussehen.
Und eins ist gleich eins.
Also diese Aussage ist gültig und will gleich sein und injiziert werden.
Wenn Sie sich nun die hohe Sicherheitsstufe anschauen, beachten Sie diese Verwendung des einfachen Anführungszeichens, was bedeutet, dass
die Benutzer-ID gleich eins ist und Eins gleich eins ist.
So und eins ist gleich und wird nicht als Teil der ODER-Anweisung betrachtet,
aber es wird als Teil der Benutzer-ID betrachtet.
Versuchen wir nun, das einfache Anführungszeichen hinzuzufügen und zu sehen, welche Auswirkungen dies auf den Bildschirm oder die Anweisungen haben würde.
Ich werde diese Aussage eigentlich loswerden, weil wir es geschafft haben, sie zu injizieren, und wir werden uns
nur auf die Höhepunkte der Aussagen konzentrieren, die in der hohen Sicherheitsstufe verwendet werden.
Wir verwenden hier ein einzelnes Zitat, um es zu schließen, und wir werden es kopieren.
Nun passiert dies tatsächlich den Bildschirm und entgeht der Kraft.
Das einzelne Zitat, das wir hier verwenden, wird also tatsächlich entfernt.
Und diese Linie wird eins und eine ist gleich eins, also wird sie gleich sein oder genau
dieselbe wie die zuvor verwendete Linie.
Nun möchte man, dass dieser hier wieder eingesetzt wird.
Eins und Eins ist gleich und wird als Teil der Z der Benutzer-ID betrachtet. Es wird
nicht als Teil der Escarole-Anweisung betrachtet.
Daraus können wir erkennen, dass die Verwendung der my s q r der wirklichen Fluchtstärke nicht ausreicht.
Es muss hier mit den einfachen Anführungszeichen verwendet werden, und in Kombination mit dieser Funktion
wird diese spezifische Anweisung wie Kill zu einem injizierbaren.
In zukünftigen Vorträgen werden wir tatsächlich einen besseren Weg zum Erstellen von Webanwendungen
diskutieren, damit sie keine SKM-Anweisungen enthalten können.
Wenn Sie jedoch eine schnelle Lösung benötigen, können Sie dies tun, bis Sie Zeit haben und die Implementierung Ihrer
Website so ändern können, dass sie nicht injiziert werden kann.