Tìm Hiểu Về SQL Injection: - Giáo Trình Học Hackker

Có thể bạn quan tâm

_ SQL Injection là một trong những kiểu hack web đang dần trở nên phổ biến hiện nay. Bằng cách inject

các mã SQL query/command vào input trước khi chuyển cho ứng dụng web xử lí, bạn có thể login mà

không cần username và password, thi hành lệnh từ xa, đoạt dữ liệu và lấy root của SQL server. Công cụ

dùng để tấn công là một trình duyệt web bất kì, chẳng hạn như Internet Explorer, Netscape, Lynx, ...

_ Bạn có thể kiếm được trang Web bị lỗi bằng cách dùng các công cụ tìm kiếm để kiếm các trang cho phép

submit dữ liệu . Một số trang Web chuyển tham số qua các khu vực ẩn nên bạn phảI viewsource mớI thấy

được . VD ta xác định được trang này sử dụng Submit dữ liệu nhờ nhìn vào mã mà ta đa viewsource :

CODE

_ Kiểm tra thử xem trang Web có bị lỗi này hay không bằng cách nhập vào login và pass lân lượt như sau

- Login: hi` or 1=1-- - Pass: hi` or 1=1--

Nếu không được bạn thử tiếp với các login và pass sau : CODE ` or 1=1-- `` or 1=1-- or 1=1-- ` or `a`=`a `` or ``a``=``a `) or (`a`=`a

Nếu thành công, bạn có thể login vào mà không cần phải biết username và password .

Lỗi này có dính dáng đến Query nên nếu bạn nào đa từng học qua cơ sở dữ liệu có thể khai thác dễ dàng

chỉ bằng cách đánh các lệnh Query trên trình duyệt của các bạn . Nếu các bạn muốn tìm hiểu kỹ càng hơn

về lỗi này có thể tìm các bài viết của nhóm vicky để tìm hiểu thêm .

Sưu tầm bởi Huỳnh Mai Anh Kiệt – huynhmaianhkiet@gmail.com Website: www.a2trungvuong.net – www.a2trungvuong.somee.com

Trang 27

Giáo trình hack