SQL Injection

[phpkar]

سلام دوستان

همه میدونیم که SQL Injection یکی از روشهای هک شدن سایتهاست و برنامه نویس باید شدیدا روی اون توجه داشته باشه .... همونجور که از اسمش هم پیداس یعنی تزریق یک کد SQL در داخل یک Query ...
من راه حلهایی که به ذهن خودم تابحال رسیده رو میگم ... کسایی هم که در این زمینه اطلاعات وتجارب مفیدی دارند بگند تا همه استفاده کنند .

1- فرق گذاشتن بین مقادیر GET و POST و Session و ...
2- نوشتن تابعی مثل injection_replace ( دوستان لطفا نظر بدند و اگه اشکال داره اصلاحش کنن ) :

function injection_replace($txtobject){
	$txtobject1=strtolower($txtobject);
	str_replace("'","&#39",$txtobject );
	str_replace("'","&#39",$txtobject );
	str_replace("<","&#60",$txtobject );
	str_replace(">","&#62",$txtobject );
	str_replace("or","",$txtobject );
	str_replace("delete","",$txtobject );
	str_replace("update","",$txtobject );
	str_replace("insert","",$txtobject );
	return $txtobject;
}

3- موقع add کردن user در database در Cpanel همه privilage ها رو به user ندین . معمولا DROP و Delete خطرناکه و برای user معمولی نباید امکان داشته باشه ...

و اما Sql Injection چه راههایی داره ؟
یکیش اینه که توی فرمهایی مثل Login بیان مثلا به جای admin وارد کنن ' or username='admin'
این ساده ترین نوع injection هست و متاسفانه من در موارد پیچیده هیچ اطلاعاتی در این زمینه ندارم ...
آیا کسی اطلاعات کاملتری در این زمینه داره ؟

 

[artin]

ای ول به چیزی خوبی اشاره کردی ! منم یه کمی سرچ می کنم ببینم چی میشه

 

[shankimout]

بنظر من باید اینارو حذف کنی جون توی متن ها ممکنه دخل و تصرف ایجاد شه . روش های دیگه ای هم برای جلوگیری از اجرا شدن query هست .

 

[sama_sally]

این or رو باید یه کاری کنی نتونه وارد کنه
مثلا تویه فیلدهای مهم اجازه نده فاصله باشه

 

[phpkar]

این or رو باید یه کاری کنی نتونه وارد کنه
مثلا تویه فیلدهای مهم اجازه نده فاصله باشه

فاصله رو نمیشه کاریش کرد چون تو هر کلمه و جمله ای هست ...
اصلا اون or هم که من نوشتم اصولی نیست .

کسی از روشهای هک کردن به وسیله sql injection اطلاع داره ؟
معمولا اگر ادم هک کردن رو یاد بگیره ضدهک شدن رو بلد میشه

 

[Parsa_361]

فاصله رو نمیشه کاریش کرد چون تو هر کلمه و جمله ای هست ...
اصلا اون or هم که من نوشتم اصولی نیست .

کسی از روشهای هک کردن به وسیله sql injection اطلاع داره ؟
معمولا اگر ادم هک کردن رو یاد بگیره ضدهک شدن رو بلد میشه

سؤال سخت میکنی جون تو ! :blink:
من یه چیزایی شنیدم ولی زیاد نمی دونم

 

[artin]

فهم sql injection به صورت ساده
http://www.acunetix.com/websitesecurity/sql-injection.htm

مقاله نصبتا کامل در مورد حمله ای sql injection و مقابله با آن
http://www.sitepoint.com/article/sql-injection-attacks-safe

اینم واسه phpkar که دنباله مثال بود تو این لینک انواع مثال رو برای این کار گفته
http://www.developerfusion.co.uk/show/4656/1/

 

[Parsa_361]

فهم sql injection به صورت ساده
http://www.acunetix.com/websitesecurity/sql-injection.htm

مقاله نصبتا کامل در مورد حمله ای sql injection و مقابله با آن
http://www.sitepoint.com/article/sql-injection-attacks-safe

اینم واسه phpkar که دنباله مثال بود تو این لینک انواع مثال رو برای این کار گفته
http://www.developerfusion.co.uk/show/4656/1/

دستت درد نکنه آرتین جان با اینکه انگیلیسیم زیاد خوب نیست که این متنا رو بخونم ولی به دردم خورد
فقط من یه چیزی رو موندم !
فقط میشه متغیر username و password رو مقدار دهی کرد !
sql رو چی جوری مقدار دهی میکنن ؟
sql یه متغیر global هست و اگه registerglobal روی off باشه هیچ کاری نمی شه کرد
ها ؟ قضیه این چه جوریاست ؟

 

[phpkar]

فهم sql injection به صورت ساده
http://www.acunetix.com/websitesecurity/sql-injection.htm

مقاله نصبتا کامل در مورد حمله ای sql injection و مقابله با آن
http://www.sitepoint.com/article/sql-injection-attacks-safe

اینم واسه phpkar که دنباله مثال بود تو این لینک انواع مثال رو برای این کار گفته
http://www.developerfusion.co.uk/show/4656/1/

ایول ... دستت درد نفوکوله
... جالب بود
البته ظاهرا SQL Injection شکل دیگه ای غیر از اون چیزی که فکر میکردم نداره ...
غیر or چیز دیگه هم میتونه باشه ؟

 

[Parsa_361]

آقا کسی جواب ما رو نمیده ؟ :blink:

دستت درد نکنه آرتین جان با اینکه انگیلیسیم زیاد خوب نیست که این متنا رو بخونم ولی به دردم خورد
فقط من یه چیزی رو موندم !
فقط میشه متغیر username و password رو مقدار دهی کرد !
sql رو چی جوری مقدار دهی میکنن ؟
sql یه متغیر global هست و اگه registerglobal روی off باشه هیچ کاری نمی شه کرد
ها ؟ قضیه این چه جوریاست ؟

 

[artin]

به دلیل اهمیتی که این موضوع داشت من این رو دوباره اوردمش بالا

phpkar اون funtioni که نوشتی میشه گفت که جلو کاملا sql injection رو میگیره ؟

این رو فقط برای SELECT استفاده کرد ؟ یعنی هر چی ورودی برای SELECT می فرستیم از زیره این فیلتر بشه ؟ واسه insert و update هم این لازمه ؟

اگر کسی تجربه ای در این مورد دارد بگه

Parsa_361
جواب سئوالت رو نمی دونستم که جواب ندادم
البته اصلا متوجه نشدم منظورت چی بوده

 

[shankimout]

من برای جلوگیری از sql injection از این کد همیشه استفاده می کنم

     function spc_filter($text)
     {
          // this is a version of input filter that still allows unicode to function correctly and array varibles
          if(is_array($text)){
          foreach($text as $key => $value){
               $text[$key] = strip_tags(preg_replace('/&(?!#[0-9]+;)/si', '&', $value)); // translates all non-unicode entities
               $text[$key] = str_replace(array('<', '>', '"'), array('&lt;', '&gt;', '&quot;'), $value);
          }
          return $text;
          }
          else
          {
          $text = strip_tags(preg_replace('/&(?!#[0-9]+;)/si', '&amp;', $text));
          return str_replace(array('<', '>', '"'), array('&lt;', '&gt;', '&quot;'), $text);
          }
      }

 

[shankimout]

خیلی روش های دیگه ای هست . ایشالا یکم سرم خلوت تر شد یه تاپیک باز میکنم کلی فانکشن پر کاربردمیزارم

 

[first saeed]

سلام

اون كتاب php hacks كه من تو تاپيك "يك پيشنهاد و دوسه تا كتاب " براي دانلود گذاشتم مطالب خوبي در اين زمينه ها داره
اينم لينك دانلودش : http://www.yaddashtha.com/ebook

 

[artin]

فکر کنم اگه این کاراکتر ها از تو ورودی پاک بشه دیگه نشه کاری از پیش برد !

!'"#$%^&*()=+{}[]|\;?><

چون هر کدی بیاد به یکی از کدهای بالا لازم داره
نه ؟
یعنی اگر اینها از ورودی طرف حدف بشه کد خیلی امن تر میشه

 

[phpkar]

فکر کنم اگه این کاراکتر ها از تو ورودی پاک بشه دیگه نشه کاری از پیش برد !



چون هر کدی بیاد به یکی از کدهای بالا لازم داره
نه ؟
یعنی اگر اینها از ورودی طرف حدف بشه کد خیلی امن تر میشه

ببین این hba اطلاعات خفنی در مورد SQL Injection داره ولی نمیدونم چرا با اینکه جاش توی این تاپیک خالیه علاقه ای به کمک به این تاپیک نداره !!!

 

[artin]

اگه باهاش در تماس هستی بگو یه نگاه به این تاپیک بندازه

به نظره خودت اون کاراکترهای که من گفتم پاک بشه باز جای نفوذ هست ؟

یه جیز تو مایه های funtion خودت ولی کامل تر

فعلا هر چیزی که برای injection استفاده می شه دیدم حداقل یکی از اون کاراکترها رو مصرف می کنه البته شاید چیزه دیگه ای هم باشه و من نمی دونم !

 

[shankimout]

این تابع رو از vbulletin گرفتم یکم تغیرشم دادم که بشه برای ارایه های دو بعدی هم استفاده کرد. من توی نرم افزار کاری که واسه خودم برای طراحی سایت درست کردم ( dlab-sg ) از این کد و کد هایی نظیر اون استفاده کردم و تمام روش های موجود sql injection که بلد بودم رو تست کردم و جواب گرفتم .

 

[Mehdi]

فکر کنم اگه این کاراکتر ها از تو ورودی پاک بشه دیگه نشه کاری از پیش برد !



چون هر کدی بیاد به یکی از کدهای بالا لازم داره
نه ؟
یعنی اگر اینها از ورودی طرف حدف بشه کد خیلی امن تر میشه

اصليش همين كوات هستش
اگه جلوي بسته شدنشو بگيريد ديگه نميشه كاري كرد

 

[phpkar]

این تابع رو از vbulletin گرفتم یکم تغیرشم دادم که بشه برای ارایه های دو بعدی هم استفاده کرد. من توی نرم افزار کاری که واسه خودم برای طراحی سایت درست کردم ( dlab-sg ) از این کد و کد هایی نظیر اون استفاده کردم و تمام روش های موجود sql injection که بلد بودم رو تست کردم و جواب گرفتم .

درسته ... من تمام ورودی های سایت رو با همون تابعی که نوشتم چک میکنم ولی ظاهرا علاوه بر SQL Injection یه روشهای خفن تری هم واسه هک کردن هست که ما بی خبریم !
باز هم توصیه میکنم از hba خواهش کنین براتون توضیح بده روشهای هک کردن رو ... توی SQL Injection خداست !