Devils666 Posted January 13, 2010 Report Share Posted January 13, 2010 Sveiki, te atkal es :D esmu redzējis ka dažās lapās, par to ka mēģina izdarīt sql injekciju liek automātiksu banu, vai kādam nav tāds, vai tamlīdzīgs skripts, lai piemēram varētu ielogot kāda failā to, ka kāds ir mēģinājis kaut injekcēt? :) Quote Link to comment Share on other sites More sharing options...
2easy Posted January 13, 2010 Report Share Posted January 13, 2010 latviski saka "injicēt", nevis "injekcēt" :P Quote Link to comment Share on other sites More sharing options...
Devils666 Posted January 13, 2010 Author Report Share Posted January 13, 2010 latviski saka "injicēt", nevis "injekcēt" :P nu jā, pieradums no meklēšanas ārzemju lapās :D Quote Link to comment Share on other sites More sharing options...
briedis Posted January 13, 2010 Report Share Posted January 13, 2010 (edited) Kāda starpība, ka taisa tās injekcijas? Kamēr tas nav DDoS līmeni, tad pofig :) Ja lapā ir 100 caurumi, tad manuprāt vairs nav būtiski, viena, vai vairākas injekcijas tiek veiktas :) Pirmkārt, ir jātiek galā ar cēloni, nevis sekām(tām protams arī)... Edited January 13, 2010 by briedis Quote Link to comment Share on other sites More sharing options...
Devils666 Posted January 13, 2010 Author Report Share Posted January 13, 2010 (edited) vienkārši, lai nelien un nedara ko nevajag :D un carumus pārsvarā esmu aizlāpjis Edited January 13, 2010 by Devils666 Quote Link to comment Share on other sites More sharing options...
briedis Posted January 13, 2010 Report Share Posted January 13, 2010 (edited) vienkārši, lai nelien un nedara ko nevajag :D Atnāks caur kādu proksi un turpinās iesākto... Kaut kādu injekciju uzbrukumu apkarošana(nejaukt ar - "izsargāšanās no"), manuprāt, ir lieka resursu tērēšana... ...kamēr netiek traucēta servera darbība. Edited January 13, 2010 by briedis Quote Link to comment Share on other sites More sharing options...
Devils666 Posted January 14, 2010 Author Report Share Posted January 14, 2010 Atnāks caur kādu proksi un turpinās iesākto... Kaut kādu injekciju uzbrukumu apkarošana(nejaukt ar - "izsargāšanās no"), manuprāt, ir lieka resursu tērēšana... ...kamēr netiek traucēta servera darbība. Nu, tā jau būtu tikai tāda neliela iespēja, bet protams bez viņas var arī tīri labi iztikt Quote Link to comment Share on other sites More sharing options...
briedis Posted January 14, 2010 Report Share Posted January 14, 2010 Nu, tā jau būtu tikai tāda neliela iespēja, bet protams bez viņas var arī tīri labi iztikt Bet par ko tu uztraucies, ja viss(pietiktu ar mysql_real_esc_str..) ir darīts, lai sql injekcija nevarētu notikt? :) Šausmīgi trafiks tiek maitās? :) Quote Link to comment Share on other sites More sharing options...
2easy Posted January 14, 2010 Report Share Posted January 14, 2010 varētu jau tīri intereses pēc logot injekciju mēģinājumus, lai pēčāk paskatītos, kā hakerīši cenšas kko izdarīt :D Quote Link to comment Share on other sites More sharing options...
endrju Posted January 14, 2010 Report Share Posted January 14, 2010 varētu jau tīri intereses pēc logot injekciju mēģinājumus, lai pēčāk paskatītos, kā hakerīši cenšas kko izdarīt :D logot mēģinājumus? un, ja nu mēģinājums ir veiksmīgs? nē, nu Tu mums esi viens daudzsološs bumbulītis! p.s. ja ļoti gribas prevention, autoram un bumbulītim varu ieteikt uz-googl-ēt mod_security vai analogus. Quote Link to comment Share on other sites More sharing options...
2easy Posted January 14, 2010 Report Share Posted January 14, 2010 hahaha bumbulītis <---- ievērtē title :D:D:D Quote Link to comment Share on other sites More sharing options...
endrju Posted January 14, 2010 Report Share Posted January 14, 2010 hahaha bumbulītis <---- ievērtē title :D:D:D labs! plus viens. Quote Link to comment Share on other sites More sharing options...
Maris-S Posted January 14, 2010 Report Share Posted January 14, 2010 Man gan vairāk radās jautājums kā noteikt ka patiešām ir veikts injekcijas mēģinājums, nevis pilnīgi atļauts pieprasījums kas satur sagadīšanās pēc kaut vai to pašu apostrofu? Quote Link to comment Share on other sites More sharing options...
Grey_Wolf Posted January 14, 2010 Report Share Posted January 14, 2010 Man gan vairāk radās jautājums kā noteikt ka patiešām ir veikts injekcijas mēģinājums, nevis pilnīgi atļauts pieprasījums kas satur sagadīšanās pēc kaut vai to pašu apostrofu? Shamo buus gruuti noteikt, bet var pieglabaat Visus pieprasijumus, kas netbilst vajadzigajam standartam Tas ir: Parbaudiit vai dati ir validi ( atbilstoshi), un ja nav tad pieglabat DB.. Neba jau vinji buus tik daudz, lai pecak nevaretu izskatiit... Ta kaa liela dalja 'lauzsanas meginajumu' iet caur GET pieprasijumiem, tad shamos censhos maksimali izmantot INT vertibas, kuras vienkarshi Brutali parvershu par INT , sekojoshi jebkursh cits pieprasijums tiks smagi apgriezts, vai vispar atgrieziis 0, protams tiek veikti arii citi 'drosiibas pasakumi' .. shada gadijumaa, buutu diezgan primitiivi noteikt vai netiek veikts kas netljauts ( vienkarsa parbaude ir vai nav INT ) Quote Link to comment Share on other sites More sharing options...
ohmygod Posted January 14, 2010 Report Share Posted January 14, 2010 Vari mēģināt rakstīt funkciju, kas pārbauda vai pieprasījumam un sagatavotajam sql kverijam ir viens patterns. Bet tas nebūs nemaz tik vienkārši. like: $q="SELECT `kaka` FROM supertable WHERE im = 'god' and userdata = '$something_from_user'"; $q_pattern="SELECT `kaka` FROM supertable WHERE im = 'god' and userdata = 'USERDATA'"; if(parbaudeuzinjeckju()){mysql_query($q);} Tā tik tā mana vīzija. Sanāk papildus mainīgais ar kverija usera nemodificētu saturu. Quote Link to comment Share on other sites More sharing options...
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.