Como has visto hasta ahora, las inyecciones de habilidades son muy peligrosas y también son muy fáciles de
encontrar y Ocker.
Los encontrarás en todas partes en algunos sitios web realmente famosos.
Las personas intentan evitar estas vulnerabilidades utilizando filtros.
Los filtros pueden hacer que parezca que no hay exploits, pero si realmente se esfuerza al usar
diferentes tipos de codificación o con un proxy, podrá omitir la mayoría de estos filtros.
Algunos programadores usan una lista negra.
Así, por ejemplo, impiden el uso de la unión.
Evitan el uso de insertos y cosas por el estilo.
De nuevo, no es 100 por ciento seguro.
Se puede omitir usando una lista blanca.
Exactamente los mismos problemas que la lista negra.
La mejor manera de hacerlo es programar su aplicación web de manera que no permita que se
le inyecte código y luego ejecutarla.
Entonces, la mejor manera de hacerlo es usar la declaración de parametrización donde los datos y el código están separados.
Y la mejor manera de mostrarle lo que quiero decir con eso es usar un ejemplo en el que mantengo la menor cantidad de
programación.
En este ejemplo, no quiero que sea un programa y un ejemplo.
En realidad, hay errores en la programación, pero estoy tratando de darle el concepto más
que cómo programarlo.
Entonces, el código vulnerable que estábamos viendo solía hacer esto, así que solía seleccionar una estrella de las cuentas donde
el nombre de usuario es igual a lo que pusimos en el cuadro de texto 1 y luego solíamos poner en el cuadro de texto 1.
Pongámoslo aquí.
Solíamos decir como hombres y luego cerrar el código y luego podemos hacer una selección de unión y ejecutar otra cosa.
Y luego, una vez que terminamos, solíamos agregar el comentario que básicamente ignora todo lo que
viene después.
Entonces, cuando copie esto y lo ponga aquí, verá lo que
está sucediendo.
Entonces es selección.
Ahora vamos a deshacernos de esto porque esto es solo hacer que el corte no sea agradable
y en realidad solo voy a poner un comentario sobre esto para que haga una selección de las cuentas donde el nombre de usuario
es igual a Aardman Union seleccionar y ejecutar lo que queramos hacer
Esto es muy malo y es muy difícil protegerse contra él.
Como dije, use filtros y todo eso solo resalta que el problema no lo solucionará.
La mejor manera de hacer esto es usar las instrucciones de parametrización así.
Entonces esta es la forma segura de hacerlo.
En primer lugar, prepara su estado de cuenta en la mayoría de los
idiomas, como BHB, y todos ellos tienen una función como esa, y puede preparar un clasificador seleccionado de las cuentas donde un
nombre de usuario es igual a un signo de interrogación y luego envía los valores.
Entonces, ph ahora sabemos que la declaración de habilidad es seleccionar estrella de las cuentas donde el nombre de usuario es igual a algo
y luego tiene el valor del cuadro de texto 1.
Entonces, incluso si entramos y usamos nuestra declaración muy astuta aquí y pegada allí, la aplicación web sabrá que el
valor de esto es admen que Union selecciona con vida.
Ella trata de ir y selecciona comenzar desde las cuentas donde está el nombre de usuario y luego agrega
sus propias citas y trata de encontrar un nombre de usuario con el siguiente nombre de usuario.
Por lo tanto, todo esto se ejecutará de esta manera, por lo
que será el próximo de las cuentas donde el nombre de usuario es igual a la cantidad de unión seleccionada para este hashtag.
Por lo tanto, nunca se moverá lo que pones en tu cuadro de texto se enviará como un valor y la aplicación web sabrá que
este es un valor.
No es un código y nunca se ejecutará.
Por lo tanto, esto lo protegerá contra las inyecciones de Escurial.
Puedes usar los filtros como una segunda línea de defensa.
Y también le aconsejo que use la menor cantidad de privilegios posibles, así que use cada usuario con la menor cantidad de privilegios que desee,
así que no permita que los usuarios hagan nada que no les
permitan.
Si se trata de un sitio web simple que solo realiza la selección, solo permite que el usuario seleccione si solo
necesita seleccionar e insertar y luego solo permitirle seleccionar una respuesta.
Y esta es una regla que debes seguir con todo incluso dentro de la existencia.
Asegúrese de que la persona con los permisos sea siempre lo más posible.
Cada usuario no tiene permisos adicionales que no necesita.