Et cette conférence nous allons examiner le niveau de sécurité élevé et nous verrons
pourquoi c'est un injectable.
Alors, allons-y d'abord et disons que le niveau de sécurité est trop élevé.
Maintenant, je vais revenir à mon injection de compétences et nous assurer que la page fonctionne en premier.
Je vais juste mettre le numéro un comme nous l'avons toujours fait.
Et comme vous pouvez le voir maintenant, la page fonctionne.
Essayons maintenant de l'injecter après celui qui suit le paramètre ID, comme nous l'avons toujours fait. Je vais mettre
et un est égal à un, alors je mets une déclaration vraie.
Et comme vous pouvez le voir maintenant, la page ne fonctionne pas vraiment.
Essayons donc de mettre une citation ici pour la fermer, comme nous l’avons fait avec le niveau bas.
Et encore une fois, cette injection ne fonctionne pas non plus, même si on nous donne une déclaration
vraie qui ne devrait pas interférer avec la demande actuelle.
Nous ne regardons généralement pas le code lorsque nous essayons de pirater, mais comme je l'ai dit, il s'agit d'un produit injectable.
Examinons maintenant le code et comparons-le avec le code utilisé pour le niveau de sécurité
moyen. Nous verrons ensuite quelle est la différence entre les deux codes afin d'apprendre à sécuriser nos
sites Web.
Donc, je vais chercher et changer le niveau de sécurité sur moyen pour
pouvoir comparer les deux codes. Je reviens à l'injection de compétences et je vais aussi voir la source.
Et Dieu les mit l'un à côté de l'autre.
Donc, ici, dans le niveau de sécurité moyen, vous pouvez voir que l’idée est lue ici et installée dans
la variable ID.
Et puis il y a une fonction d'application appelée mon Eskew la véritable évasion.
Ainsi, cette fonction recouvre tous les caractères de la variable ID et recherche les caractères spéciaux tels que
les guillemets simples et les guillemets doubles et les supprime.
Par conséquent, tous les guillemets utilisés ou injectés dans la variable ID seront effectivement supprimés à cette ligne en
raison de l'utilisation de mon obscure contrainte réelle d'échappement.
Maintenant, lorsque vous passerez à l'énoncé des compétences, vous constaterez qu'il n'est pas nécessaire d'utiliser de guillemets pour injecter du
code dans les énoncés. Notre énoncé consiste à sélectionner le nom, le nom, le nom de famille des utilisateurs
avec un ID utilisateur égal à ID.
Nous n’avons donc pas besoin de fermer les citations.
Nous n'avons pas besoin d'injecter des guillemets dans la variable ID.
Tout ce que nous avons à faire, c'est de mettre n'importe quelle idée comme nous l'avons fait dans la dernière vidéo afin que nous puissions mettre
juste le numéro un, puis injecter le code tout de suite après le numéro un.
Ainsi, lorsque nous utilisons ce code ici, nous ne utilisons généralement pas les citations dans les médias.
Donc, nous donnons littéralement l'ID comme numéro un.
Et ensuite, nous disons que Union sélectionne le nom de colonne, quelles que soient les tables de schéma d’information.
Donc, le code vient d'être injecté immédiatement après l'ID, puis la base de données le lira
et l'exécutera.
Il n'est pas nécessaire d'utiliser de nouveau les guillemets, car le code n'utilise aucun code unique. Le code dit
simplement que l'ID utilisateur est égal à ID.
En comparant cela avec le code que nous avons pour le niveau de sécurité élevé, vous
verrez qu’il utilise la même fonction pour ignorer les caractères spéciaux, mais que sa mise en œuvre est correcte.
Et c’est en utilisant des guillemets simples dans la déclaration Escurial autour de l’idée. Par conséquent, parce que le code est conservé
dans les guillemets que nous avons mis et parce qu’ils utilisent des guillemets, tout code que nous
essayons d’injecter ici sera en fait considéré comme s'il était partie de l'ID.
Donc, lorsque nous utilisons ce code ici, si nous utilisons simplement le code tel quel sans guillemets, il
sera évidemment inséré à la place de la variable ID entre les deux guillemets.
Donc, ça va juste être considéré comme l'identifiant.
Considérant que si nous injectons ce code ici, il sera exécuté dans le cadre de l'instruction kill.
Voyons donc à quoi ressemblera la déclaration askew lorsque nous injecterons notre code dans les médias et
dans le niveau de sécurité élevé.
Donc, je vais juste faire tomber les techniciens ici pour que nous ayons la meilleure déclaration pour le support ici et la déclaration
de compétences pour le niveau de sécurité élevé et nous allons simplement essayer d'injecter Si vous pouvez injecter cela, vous pouvez
alors injecter tout ce que vous voulez et le faire exécuter dans la base
de données.
D'ACCORD.
Donc, en regardant la déclaration du support, nous allons copier ce code.
Maintenant, ce code va réellement passer et passer à travers le caractère d'échappement my et real.
Donc, il sera supprimé de tout code qu'il possède mais il n'a rien et le code ressemblera
à un.
Et on est égal à un.
Donc, cette déclaration est valide et veut égal à et sera injecté.
Maintenant, en regardant le niveau de sécurité élevé, notez cette utilisation de la citation unique, ce qui signifie que
l’ID utilisateur est égal à un et l’un à un.
Donc et on est égal à et ne sera pas considéré comme faisant partie de
l'instruction OR, mais comme faisant partie de l'ID utilisateur.
Essayons maintenant d’ajouter la citation simple et de voir quel effet cela aurait sur l’écran ou les déclarations.
En fait, je vais me débarrasser de cette déclaration parce que nous avons réussi à l'injecter et nous allons
nous concentrer uniquement sur les sommets des déclarations utilisées dans le niveau de sécurité élevé.
Donc, nous utilisons une seule citation ici pour la fermer et nous allons la copier.
Maintenant, cela passera réellement à travers l'écran et échappera à la force.
La citation que nous utilisons ici sera donc supprimée.
Et cette ligne deviendra un et un égal à un, il sera donc identique ou exactement identique
à celui que nous utilisions auparavant.
Maintenant on veut que ceci soit substitué ici encore.
Les valeurs one et one sont égales et seront considérées comme faisant partie du Z de l'ID utilisateur et ne seront pas
considérées comme faisant partie de la déclaration scarole.
Nous pouvons en déduire que l’utilisation de la force de fuite n’est pas suffisante.
Il doit être utilisé avec les guillemets simples ici et combiné avec cette fonction, alors cette
instruction spécifique en tant que kill devient un injectable.
Dans les cours à venir, nous allons en fait discuter d'une meilleure façon de créer des applications Web afin
qu'elles ne puissent pas être injectées avec des instructions SKM.
Mais si vous aviez besoin d’une solution rapide, vous pouvez le faire jusqu’à ce que vous en ayez le temps et modifier
l’implémentation de votre site Web afin qu’il ne puisse pas être injecté.