3-jarige hackt website via SQL Injection (video)
Het hacken van websites via SQL Injection is zo eenvoudig dat zelfs een kind van drie het kan doen, zo demonstreert beveiligingsonderzoeker Troy Hunt. Hunt liet zijn zoontje aan de slag gaan met de Havij SQL Injection-tool. SQL Injection is al bijna veertien jaar een probleem en ontstaat doordat programmeurs onveilig programmeren. Via SQL Injection krijgt een aanvaller toegang tot de database van een website, en kan zo vertrouwelijke klantgegevens als e-mailadressen, namen en al dan niet versleutelde wachtwoorden benaderen.
Om het gebruik van SQL Injection te vereenvoudigen zijn verschillende tools beschikbaar, waarvan Havij één van de populairste is. "Ik stel dat het hacken van websites via SQL Injection zo eenvoudig is, dat zelfs mijn 3-jarig zoontje een succesvolle hacker kan zijn", aldus Hunt, die opmerkt dat hij er niet ver naast zit als zijn zoontje met Havij aan de slag gaat.
Scriptkiddies
Volgens Hunt is Havij een tool om penetratietesters te helpen. "Maar, en dit een grote 'maar', als je op YouTube zoekt zie je niet zoveel video's van penetratietesters." De onderzoeker stelt dat het voornamelijk om kinderen gaat die websites willen hacken om daar allerlei gegevens te stelen.
na verloop van tijd, laten we zeggen 5 a 8 jaar? zal havij toch echt wel achterhaald zijn, en dan nog maar te zwijgen over de Script firewall's als dat gebeurt dan zijn die successvolle hackers ineens niet zo succesvol meer. en moeten ze weer aan pappie vragen waar ze nu moeten klikken.
Bullshit nieuws, gewoon een media geile onderzoekst journalist. is te vergelijken met Arnoud engelfried...
Kan die man niet uit de ouderlijke macht gezet worden.
Zeker weten deel jij die gedachte, Omdat jij een trouwe gebruiker bent van Havij.
na verloop van tijd, laten we zeggen 5 a 8 jaar? zal havij toch echt wel achterhaald zijn, en dan nog maar te zwijgen over de Script firewall's als dat gebeurt dan zijn die successvolle hackers ineens niet zo succesvol meer. en moeten ze weer aan pappie vragen waar ze nu moeten klikken.
Bullshit nieuws, gewoon een media geile onderzoekst journalist. is te vergelijken met Arnoud engelfried...
Een succesvolle hacker = hacker die een (in deze context) website inbreekt. Kind is succesvol, dus implicatie klopt. En als je 8 jaar lang Havij gebruikt, mag ik hopen dat je de basisprincipes ook wel kent. En dat SQL Injection kinderlijk simpel is, heeft voor ons misschien geen nieuwswaarde, maar het is mogelijk voor 'n00bs' wel een eye-opener !
problem solved
problem solved
Die single quotes zijn niet nodig als je intval gebruikt =)
Hierdoor moet mysql type conversion doen van string naar int wat onnodige resources gebruikt.
En Gij Brutus?
problem solved
Dus dit keer niet exploit by mom, maar exploit by dad? ;)
Maar wat als de connectie met de database al is gelegd bij het uitvoeren van deze code? (wat in de meeste website die bijv met PHP zijn geschreven het geval is)
<?php
mysql_real_escape_string($string)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
