Reacties (26)
10-07-2017, 13:30 door
[Account Verwijderd]
[Verwijderd]
Niet.
Ik gebruik altijd PDO / mysqli en prepared statements, waarmee SQL injection onmogelijk is.
Ik gebruik altijd PDO / mysqli en prepared statements, waarmee SQL injection onmogelijk is.
Hmmm, ik vindt dit niet zo'n goede poll. Geen van de antwoord sluit aan op een juiste aanpak van SQL-injeciton. Het testen naar SQL-injection vereist vele requests, waaronder de genoemde parameters ook onder kunnen vallen, maar zeker niet gelimiteerd tot. Er zijn vele verschillende databases die allen anders kunnen reageren dan de ander. Dit betekend dat de aangegeven opties niet hoeven te werken. Als iemand zich limiteerd tot deze opties is hij ook niet aan het testen maar 'grappig bezig'.
Er zouden drie extra antwoorden toegevoegd moeten worden die ervoor zorgen dat het zo dichtbij mogelijk bij de waarheid zou komen: "Met een vooraf vergaarde lijst van verschillende SQL-injection mogelijkheden.", "Automatische tooling." en "Het aanpassen van de payload aan de hand van vergaard informatie en server responses.".
Er zouden drie extra antwoorden toegevoegd moeten worden die ervoor zorgen dat het zo dichtbij mogelijk bij de waarheid zou komen: "Met een vooraf vergaarde lijst van verschillende SQL-injection mogelijkheden.", "Automatische tooling." en "Het aanpassen van de payload aan de hand van vergaard informatie en server responses.".
SQLi testing op deze manier in 2017 :') Geparametiseerde queries in source code jonguh.
Volgens mijn logs doen de bezoekers van mijn website het testen voor me.
Zoek op "foto's".
Of gewoon als adres intypen in 2491 AJ in 's-gravenhage. :)
Of gewoon als adres intypen in 2491 AJ in 's-gravenhage. :)
Door Anoniem: Volgens mijn logs doen de bezoekers van mijn website het testen voor me.
;D
Graag gedaan
https://hackadaycom.files.wordpress.com/2014/04/18mpenleoksq8jpg.jpg?w=636
11-07-2017, 11:16 door
Vandy
Drop table maakt altijd onderdeel van het festijn uit. Maar de tests verschillen per site...
Hoe ik test op SQL injecties?
Even m'n vrouw vragen. Moppie, hoe test ik op SQL injecties....Wat?
O, heel goed zegt ze.
Even m'n vrouw vragen. Moppie, hoe test ik op SQL injecties....Wat?
O, heel goed zegt ze.
';DROP DATABASE DATABASE();--
Okee, niet echt. Ik ga meestal gewoon voor een enkele '.
Op MacOS ben je hier veilig voor, ik heb geen Windhoos Defender etc. nodig! :)
14-07-2017, 21:31 door
karma4
Ik ben meer op zoek naar ombedoelde code injection. SQL injection is zo UI WEB-frontend gedoe.
De gebruikers (analisten) hebben al alle rechten om SQL af te vuren. Maar is het beperkt tot de informatie waar ze mee bezig zouden moeten zijn.
De gebruikers (analisten) hebben al alle rechten om SQL af te vuren. Maar is het beperkt tot de informatie waar ze mee bezig zouden moeten zijn.
15-07-2017, 09:56 door
[Account Verwijderd]
[Verwijderd door moderator]
15-07-2017, 14:02 door
[Account Verwijderd]
[Verwijderd]
Door Neb Poorten:
SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Inloggen met user/password wordt in de UI web-frontend laag zelf ontworpen en gebouwd.SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Het is nu net daar waar de lekken van user-passwords bekend van zijn geworden. het is de beschrijving bij OWASP
https://www.owasp.org/index.php/SQL_Injection
"Authentication: If poor SQL commands are used to check user names and passwords, it may be possible to connect to a system as another user with no previous knowledge of the password.
Authorization: If authorization information is held in a SQL database, it may be possible to change this information through the successful exploitation of a SQL Injection vulnerability."
In de big data tools is het gangbare vraag om dat via het web beschikbaar te krijgen. Vandaar dat ik ook in die hoek heb moeten duiken wat er nu aan de hand is. Sommige tools worden als alles oplossend via web-interfaces aangeprezen. Ook dan moet je onder die motorkap durven duiken. Nee vrolijk van wat ze daar uitspoken in de doosjes verbinding wordt je niet.
Door karma4:
Het is nu net daar waar de lekken van user-passwords bekend van zijn geworden. het is de beschrijving bij OWASP
https://www.owasp.org/index.php/SQL_Injection
"Authentication: If poor SQL commands are used to check user names and passwords, it may be possible to connect to a system as another user with no previous knowledge of the password.
Authorization: If authorization information is held in a SQL database, it may be possible to change this information through the successful exploitation of a SQL Injection vulnerability."
In de big data tools is het gangbare vraag om dat via het web beschikbaar te krijgen. Vandaar dat ik ook in die hoek heb moeten duiken wat er nu aan de hand is. Sommige tools worden als alles oplossend via web-interfaces aangeprezen. Ook dan moet je onder die motorkap durven duiken. Nee vrolijk van wat ze daar uitspoken in de doosjes verbinding wordt je niet.
Door Neb Poorten:
SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Inloggen met user/password wordt in de UI web-frontend laag zelf ontworpen en gebouwd.SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Het is nu net daar waar de lekken van user-passwords bekend van zijn geworden. het is de beschrijving bij OWASP
https://www.owasp.org/index.php/SQL_Injection
"Authentication: If poor SQL commands are used to check user names and passwords, it may be possible to connect to a system as another user with no previous knowledge of the password.
Authorization: If authorization information is held in a SQL database, it may be possible to change this information through the successful exploitation of a SQL Injection vulnerability."
In de big data tools is het gangbare vraag om dat via het web beschikbaar te krijgen. Vandaar dat ik ook in die hoek heb moeten duiken wat er nu aan de hand is. Sommige tools worden als alles oplossend via web-interfaces aangeprezen. Ook dan moet je onder die motorkap durven duiken. Nee vrolijk van wat ze daar uitspoken in de doosjes verbinding wordt je niet.
^ "De plank mis slaan" in al z'n glorie.
Zowel prepared statements als https beveiligen uw data NIET voor data corruptie. Het is een vals gevoel van veiligheid.Ik heb meer of 10 jaar een eigen database systeem gehad en hierdoor veel lekken van andere systemen ontdekt, omdat het mijne nu eenmaal vrij uniek en het was ook simpel of te simpel.Best houd het altijd grappig zodat je de hacker en of indringer niet een rode lap voor de ogen gooit dan verlies je altijd of leer je veel bij.
De beste test is een site maken met login die enkel naar een file logt hem bij je vrienden bekend maken als veilig.Je zal al snel merken dat mensen zullen trachten binnen te komen met informatie die je zelf ter beschikking steld. Dus als je dan een filter toepast ontdek je de persoon die erachter zit door de informatie die deze gebruikt.Dit omdat niet iedereen die je kent alles van je weet.Nu tracht er ook enkele publieke profielen op te plaatsen die lijken op een ander profiel zo merk je sites waar je toch zo geheim wachtwoord hebt op geplaatst eens in je site zullen belanden Na wat tijd en zoekwerk kan je ook deze eruithalen.
En voor af te sluiten ook pictogrammen of foto's zijn gevaarlijk maar dat wist u wel al vermoed ik.
De beste test is een site maken met login die enkel naar een file logt hem bij je vrienden bekend maken als veilig.Je zal al snel merken dat mensen zullen trachten binnen te komen met informatie die je zelf ter beschikking steld. Dus als je dan een filter toepast ontdek je de persoon die erachter zit door de informatie die deze gebruikt.Dit omdat niet iedereen die je kent alles van je weet.Nu tracht er ook enkele publieke profielen op te plaatsen die lijken op een ander profiel zo merk je sites waar je toch zo geheim wachtwoord hebt op geplaatst eens in je site zullen belanden Na wat tijd en zoekwerk kan je ook deze eruithalen.
En voor af te sluiten ook pictogrammen of foto's zijn gevaarlijk maar dat wist u wel al vermoed ik.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
