และการบรรยายครั้งนี้เราจะไปดูที่ระดับความปลอดภัยสูงและเราจะเห็นว่าทำไมมันถึงเป็นแบบฉีด
งั้นมาก่อนกันแล้วบอกว่าระดับความปลอดภัยสูงเกินไป
ตอนนี้ฉันจะกลับไปฉีดทักษะของฉันและตรวจสอบให้แน่ใจว่าหน้านี้ทำงานก่อน
ฉันแค่จะทำให้หมายเลขหนึ่งเหมือนที่เราเคยทำ
และอย่างที่คุณเห็นตอนนี้หน้าใช้งานได้
ตอนนี้เราลองฉีดมันหลังจากพารามิเตอร์ ID
เหมือนที่เราทำอยู่เสมอและฉันจะใส่และหนึ่งเท่ากับหนึ่งดังนั้นฉันใส่คำสั่งที่แท้จริง
และอย่างที่คุณเห็นตอนนี้หน้าเว็บไม่ทำงานจริง ๆ
ดังนั้นให้ลองใส่เครื่องหมายคำพูดเดี่ยวที่นี่เพื่อปิดเหมือนที่เราทำในระดับต่ำ
และอีกครั้งการฉีดนี้ไม่ทำงานอย่างใดอย่างหนึ่งแม้ว่าเราจะได้รับข้อความจริงที่ไม่ควรยุ่งเกี่ยวกับคำขอปัจจุบัน
เรามักจะไม่ดูรหัสเมื่อเราพยายามแฮ็ค แต่อย่างที่ฉันบอกว่านี่เป็นการฉีด
ลองดูรหัสและเราจะเปรียบเทียบกับรหัสที่ใช้สำหรับระดับความปลอดภัยระดับกลางและเราจะเห็นความแตกต่างระหว่างสองรหัสเพื่อให้เราสามารถเรียนรู้วิธีรักษาความปลอดภัยเว็บไซต์ของเรา
ดังนั้นฉันจะค้นหาและเปลี่ยนระดับความปลอดภัยเป็นสื่อที่นี่เพื่อให้เราสามารถเปรียบเทียบสองรหัสและฉันจะกลับไปที่ทักษะการฉีดและฉันจะดูแหล่งที่มาเช่นกัน
และพระเจ้าทรงวางพวกเขาไว้ข้างๆกัน
ดังนั้นที่นี่ในระดับความปลอดภัยปานกลางคุณจะเห็นว่าแนวคิดกำลังอ่านอยู่ที่นี่และติดตั้งในตัวแปร ID
แล้วมีฟังก์ชั่นแอพที่เรียกว่า Eskew ของฉันการหลบหนีที่แท้จริง
ดังนั้นสิ่งที่ฟังก์ชั่นนี้ทำทั้งหมดผ่านตัวละครทุกตัวในตัวแปร ID
และมันจะมองหาอักขระพิเศษเช่นเครื่องหมายคำพูดเดี่ยวและเครื่องหมายคำพูดคู่
ดังนั้นเครื่องหมายอัญประกาศใด ๆ ที่ใช้หรือฉีดในตัวแปร ID จริง
ๆ แล้วจะถูกลบออกที่บรรทัดนี้เนื่องจากการใช้งานของฉันคลุมเครือความเครียดจริงหลบหนี
ตอนนี้สิ่งคือเมื่อเราลงไปที่คำสั่งทักษะคุณจะเห็นว่าเราไม่จำเป็นต้องใช้อัญประกาศใด ๆ
ในการฉีดโค้ดเข้าไปในข้อความสั่งของเราเลือกชื่อนามสกุลจากผู้ใช้ที่ ID ผู้ใช้เท่ากับ ID
ดังนั้นเราจึงไม่จำเป็นต้องปิดการเสนอราคาใด ๆ
เราไม่จำเป็นต้องใส่เครื่องหมายคำพูดในตัวแปร ID
สิ่งที่เราต้องทำคือเพียงแค่ใส่ความคิดใด ๆ
เหมือนที่เราทำในวิดีโอที่แล้วเพื่อให้เราสามารถใส่หมายเลขหนึ่งแล้วฉีดรหัสทันทีหลังจากหมายเลขหนึ่ง
ดังนั้นเมื่อเราใช้รหัสนี้ตรงนี้เราก็ไม่ได้ใช้เครื่องหมายคำพูดในสื่อ
ดังนั้นเราเพียงแค่ให้ ID เป็นหมายเลขหนึ่ง
แล้วเราจะบอกว่ายูเนี่ยนเลือกชื่อคอลัมน์อะไรก็ตามจากตารางสคีมาข้อมูล
ดังนั้นรหัสเพิ่งถูกฉีดทันทีหลังจาก ID จากนั้นฐานข้อมูลจะอ่านและดำเนินการ
ไม่จำเป็นต้องใช้เครื่องหมายคำพูดอีกครั้งเพราะรหัสไม่ได้ใช้รหัสเดียวดังนั้นรหัสที่บอกว่า ID ผู้ใช้เท่ากับ
ID
ตอนนี้เปรียบเทียบกับรหัสที่เรามีสำหรับระดับความปลอดภัยสูงคุณจะเห็นว่ามันใช้ฟังก์ชั่นเดียวกันในการข้ามตัวอักษรพิเศษ
และนั่นคือโดยการใช้เครื่องหมายคำพูดเดี่ยวในคำสั่ง Escurial รอบ ๆ
แนวคิดดังนั้นเนื่องจากรหัสนั้นเก็บไว้ในเครื่องหมายคำพูดที่เราใส่และเพราะพวกเขากำลังใช้เครื่องหมายคำพูดอยู่ในนั้นรหัสใด ๆ ที่เราพยายามฉีดตรงนี้จะถือว่าเป็นจริง
ส่วนหนึ่งของ ID
ดังนั้นเมื่อเราใช้รหัสนี้ตรงนี้ดังนั้นถ้าเราแค่ใช้รหัสตามที่ไม่มีเครื่องหมายคำพูดชัดเจนว่ามันจะถูกแทรกแทนตัวแปร ID
ระหว่างคำพูดสองคำเดียว
ดังนั้นมันจะถูกพิจารณาว่าเป็น ID
โดยที่ถ้าเราฉีดรหัสนั้นตรงนี้มันจะถูกประหารชีวิตโดยเป็นส่วนหนึ่งของคำสั่ง kill
ดังนั้นเรามาดูกันว่าคำสั่ง askew จะเป็นอย่างไรเมื่อเราฉีดโค้ดของเราทั้งในสื่อและในระดับความปลอดภัยสูง
ดังนั้นฉันจะลงเทคโนโลยีที่นี่เพื่อให้เรามีคำสั่งที่ดีที่สุดสำหรับสื่อที่นี่และคำสั่งทักษะสำหรับระดับความปลอดภัยสูงและเราจะลองฉีดและหนึ่งเท่ากับ
1 เพราะเรา เห็นถ้าคุณสามารถฉีดที่แล้วคุณสามารถฉีดสิ่งที่คุณต้องการจริงๆและได้รับการดำเนินการในฐานข้อมูล
ตกลง.
เมื่อดูที่คำสั่งกลางเราจะคัดลอกรหัสนี้
ตอนนี้รหัสนี้จะผ่านและผ่านตัวละครการหลบหนีของฉันและของจริง
ดังนั้นมันจะถูกลบออกจากรหัสเดียวที่มี แต่ไม่มีอะไรและรหัสจะมีลักษณะเหมือนกัน
และหนึ่งเท่ากับหนึ่ง
ดังนั้นคำสั่งนี้ถูกต้องและต้องการเท่ากับและจะถูกฉีด
ตอนนี้ดูระดับความปลอดภัยสูงสังเกตการใช้เครื่องหมายคำพูดเดี่ยวซึ่งจะหมายความว่า ID
ผู้ใช้เท่ากับหนึ่งและหนึ่งเท่ากับหนึ่ง
ดังนั้นและหนึ่งเท่ากับและจะไม่ถูกพิจารณาว่าเป็นส่วนหนึ่งของคำสั่ง OR แต่จะถือเป็นส่วนหนึ่งของ
ID ผู้ใช้
ตอนนี้เราลองเพิ่มเครื่องหมายคำพูดเดี่ยวแล้วดูว่าเอฟเฟกต์ใดบ้างที่มีบนหน้าจอหรือข้อความสั่ง
จริง ๆ
แล้วฉันจะกำจัดคำแถลงนี้เพราะเราสามารถอัดฉีดมันได้และเราจะมุ่งเน้นไปที่จุดสูงสุดในข้อความที่ใช้ในระดับความปลอดภัยสูง
ดังนั้นเราจึงใช้เครื่องหมายคำพูดเดี่ยวที่นี่เพื่อปิดมันและเราจะคัดลอกนี่
ตอนนี้สิ่งนี้จะผ่านหน้าจอและจะหลบหนีความแข็งแรง
ดังนั้นใบเสนอราคาเดียวที่เราใช้ที่นี่จะถูกลบออกจริง
และเส้นนี้จะกลายเป็นหนึ่งและหนึ่งเท่ากับหนึ่งดังนั้นมันจะเท่ากับหรือเท่ากับเส้นที่เราใช้มาก่อน
ทีนี้คนหนึ่งต้องการให้มันถูกแทนที่ที่นี่อีกครั้ง
หนึ่งและหนึ่งเท่ากับและจะได้รับการพิจารณาเป็นส่วนหนึ่งของ Z ของ ID ผู้ใช้และจะไม่ได้รับการพิจารณาเป็นส่วนหนึ่งของคำสั่ง
escarole
จากนี้เราจะเห็นได้ว่าการใช้งานของฉันความแรงในการหลบหนีที่แท้จริงนั้นไม่เพียงพอ
มันจะต้องใช้กับเครื่องหมายคำพูดเดี่ยวที่นี่และรวมกับฟังก์ชั่นนั้นดังนั้นคำสั่ง kill
นี้จึงกลายเป็นแบบฉีดได้
ตอนนี้ในการบรรยายในอนาคตเราจะหารือเกี่ยวกับวิธีที่ดีกว่าในการสร้างเว็บแอปพลิเคชันเพื่อที่พวกเขาจะไม่ถูกฉีดเข้ากับงบ SKM
แต่ถ้าคุณต้องการวิธีแก้ปัญหาอย่างรวดเร็วคุณสามารถไปได้จนกว่าคุณจะมีเวลาและคุณสามารถเปลี่ยนการใช้งานเว็บไซต์ของคุณเพื่อที่จะไม่สามารถฉีดได้