Hacks inyección de código y de inyección sql en aplicaciones web

Video: Curso PHP & MySQL - Mejoras de código e Inyecciones SQL - Parte 24

ataques de inyección de código manipular las variables del sistema específicos. Esto da a los hackers la posibilidad de acceder a esa información sensible que les encanta. Los hackers pueden utilizar esta información para determinar más acerca de la aplicación web y su funcionamiento interno, que en última instancia puede conducir a un compromiso grave del sistema. He aquí un ejemplo:

http://your_web_app.com/script.php?info_variable=X

Los atacantes que ven esta variable pueden empezar a introducir diferentes datos en el info_variable campo, cambiando x a algo así como una de las siguientes líneas:

Video: Hacking de Paginas Web (Inyeccion HTML)

http://your_web_app.com/script.php?info_variable=Yhttp://your_web_app.com/script.php?info_variable=123XYZ

La aplicación web puede responder de una manera que da a los atacantes más información de lo que quieren, como los errores detallados o el acceso a los campos de datos que no está autorizado a acceder. La entrada no válida también podría causar que la aplicación o el servidor para colgar. Los hackers pueden utilizar esta información para determinar más acerca de la aplicación web y su funcionamiento interno, que en última instancia puede conducir a un compromiso grave del sistema.

Si las variables se pasan HTTP en el URL y son de fácil acceso, es sólo una cuestión de tiempo antes de que alguien se aprovecha de la aplicación web.

Inyección de código también se puede llevar a cabo con bases de datos SQL back-end - un ataque conocido como Inyección SQL. atacantes maliciosos se insertan sentencias SQL, como CONECTAR, SELECCIONAR, y UNIÓN, en las peticiones de URL para intentar conectar y extraer información de la base de datos SQL que la aplicación web interactúa. la inyección de SQL es posible gracias a las aplicaciones no validan correctamente la entrada combinado con errores informativos devueltos desde los servidores de bases de datos y servidores web.

Video: Como Hackear Paginas Web - SQL Injection

Dos tipos generales de inyección SQL son estándar (también llamado basado en el error) y ciego. basado en un error la inyección de SQL es explotada en base a los mensajes de error generados por la aplicación cuando la información no válida se introduce en el sistema. Ciego la inyección de SQL sucede cuando los mensajes de error están desactivados, lo que requiere el hacker o herramienta automatizada de adivinar lo que la base de datos está regresando y cómo está respondiendo a los ataques de inyección.

Hay una manera rápida, bastante fiable para determinar si su aplicación web es vulnerable a la inyección de SQL. Basta con introducir un apóstrofo (’) en sus campos de formulario web o al final de la URL. Si se devuelve un error de SQL, más probable es que la inyección de SQL está presente.

Usted está definitivamente va a conseguir lo que se paga cuando se trata de la exploración para el descubrimiento y la inyección de SQL con un escáner de vulnerabilidades Web. Al igual que con la manipulación de URL, que es mucho mejor funcionamiento de un escáner de vulnerabilidades Web para comprobar si la inyección de SQL.

Cuando se descubre vulnerabilidades de inyección SQL, que podría estar inclinado a parar allí. Se podría seguir cavando. Un excelente - y sorprendentemente sencilla - herramienta a utilizar para esto es SQL inyector, que viene con WebInspect. Usted sólo tiene que proporcionar la herramienta con la URL sospechosa de que el escáner descubrió, y comienza el proceso de inyección SQL.

Puede hacer clic en el botón Obtener datos o datos de la bomba en SQL Inyector para comenzar vertido de información, que le conduce a la meta final hacking ético.

Video: (Hacking web) -Inyección Sql en metodo POST -Ep. 7

Acunetix Web Vulnerability Scanner tiene una herramienta de inyección SQL similar incluida, también.

Si su presupuesto es limitado, es posible considerar el uso de una herramienta de inyección SQL libre tal como Inyector de alimentación de SQL o el Firefox Add-on, SQL Inyectar mí.