Vodiči za početnike za ubrizgavanje SQL-a i skriptiranje na više lokacija
Nisam u poziciji da moram previše brinuti o sigurnosti, ali često čujem za ranjivosti od kojih se štitimo. Jednostavno pitam nekog inteligentnog arhitektu sistema, a on kaže, "Da, pokriveni smo.", A onda se revizija sigurnosti vraća čista.
Međutim, postoje dva sigurnosna "hakiranja" ili ranjivosti o kojima danas možete puno pročitati na mreži, SQL Injection i Cross-Site Scripting. Bio sam svjestan oba i pročitao sam poprilično 'tehnički' biltena na njima, ali budući da nisam pravi programer, obično bih čekao sigurnosna ažuriranja ili se samo pobrinuo da to znaju pravi ljudi i krenuo dalje.
Ove dvije ranjivosti su stvari kojih bi svi trebali biti svjesni, čak i prodavači. Jednostavno objavljivanje jednostavnog web obrasca na vašoj web lokaciji moglo bi zaista otvoriti vaš sistem za neke gadne stvari.
Brandon Wood je sjajno odradio pisanje Vodiča za početnike za obje teme koje čak i vi ili ja možemo razumjeti:
- SQL Injection
- Cross-Site Scripting
Vau, hvala za post Doug. Osećam se počašćeno… 🙂
Problem koji opisujete da zapravo ne znate kako uočiti ove vrste ranjivosti je najveći problem koji vidim. Ako programeru koji ne zna ništa o sigurnosti pokažem dio koda i pitam ga da li je siguran, naravno da će reći da je siguran – ne znaju šta traže!
Pravi ključ ovdje je edukacija naših programera o tome šta treba tražiti i kako to popraviti. To je bila svrha moja dva članka.
Možda nije pravo mjesto, ali došao sam obavijestiti ozbiljnu stvar.
PS: Želio bih obavijestiti o velikom riziku u wordpress-u koji sam uspio pronaći. Njegov glavni hak u wordpress-u ima rizik od 7/10. Ne reklamiram se, ali pogledajte svoj post html-injection-and-being -hakirano. Obavijestite o ovome druge blogere. Razgovarao sam sa Mattom (WordPress) na e-mail o tome
pepeo,
Hvala što ste me obavijestili o ovome – nadogradio sam na WordPress 2.0.6. Vjerujem da je riješio ovaj problem.
Doug
Da, sada je gotovo. Odlično što je sljedeća verzija izašla brzo
PS: možemo li imati razmjenu linkova? reci mi da li ti se sviđa ideja
WordPress MySQL offline skener?
Postoji li dostupan alat koji može skenirati an
van mreže WordPress MySQL tabela izvezena iz phpMyAdmin?
Imamo WordPress MYSQL bazu podataka koja izgleda da ima
imao SQL injekciju.