Обхід аутентифікації через SQL Injection
22:44 17.11.2011Продовжуючи розпочату традицію, після попереднього відео про зміну адмінського пароля в Joomla, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід аутентифікації через SQL Injection. Рекомендую подивитися всім хто цікавиться цією темою.
В даному відео ролику демонструється одна з найбільш простих і відомих SQL ін’єкцій. Але в даному випадку має місце не просто SQL Injection атака, а обхід аутентифікації через SQL Injection. Тому що SQL ін’єкція має місце в формі аутентифікації. Причому автор відео знайшов дану уразливість на сайті університету (web.arizona.edu) в старій версії phpMyAdmin (версія 2.5.6).
Подібні SQL ін’єкції в формах аутентифікації достатньо поширені. Я сам багато разів знаходив такі уразливості на різних сайтах та в різних веб додатках, про що я вже писав, зокрема в CMS WebManager-Pro. Рекомендую подивитися дане відео для розуміння векторів атак через SQL Injection.
П'ятниця, 02:10 18.11.2011
До речі чому силка а не саме відео ?
П'ятниця, 23:12 18.11.2011
0m3r
Така традиція
. Я з самого першого відео, що оприлюднив на сайті, почав вказувати лінку на відео, а не включати його в тіло сторінки. Хоча сайти, звідки я брав відео, в тому числі Youtube, надають можливості (відповідні теги) для включення відео у веб сторінки. Так роблю й по сьогодні.
Це за для того, щоб не перенавантажувати відвідувачів відео-матеріалами. Хоча з флеш-презентаціями я спочатку робив те саме, але достатньо швидко змінив підхід і почав включати їх в тіло сторінок. Тому що все ж таки в них міститься переважно текстова інформація (на відміну від відео).