Security Testing - Injection

注射技术包括使用应用投入领域的注射卡片或指挥。

Web Apppcation - Injection

成功的注射可以读懂,修改数据库中的敏感数据,也可以从数据库中删除数据。 该系统还使黑客能够在数据库上开展行政业务,如关闭房舍管理处/开发数据库。

让我们在简单图表的帮助下理解这一缺陷的威胁代理人、攻击者、安全弱点、技术影响和商业影响。

Examples

该应用程序在建造以下KQ弱势电话时使用未经信任的数据:

String query = "SELECT * FROM EMP WHERE EMPID =  " + request.getParameter("id") + " ";

Hands On

Step 2——如演习所示,我们利用Sting Injection到绕行认证。 在不使用正确密码的情况下,使用注射作为 b(Neville )的标志。 查明Neville的情况,并公布所有职能(包括搜查、创建和删除)。

我们将 In弃一席之地,这样我们就能够绕过密码,把参数作为一 = 1 = 1

Step 4 - Post exploitation, we are foundin as Neville who is the Admin as below.

Preventing SQL Injection

有许多方法可以防止卡片注入。 编制者在撰写该守则时,应确保其处理特殊性质。 环保事务办公室提供的che片/预防技术无疑是开发商的指南。

Using Parameterized Queries

Escaping all User Suppped Input

Enable Least Privilege for the database for the end users