W tym wykładzie i kilku następnych wykładach będziemy mówić o popularnym typie
luk o nazwie Escurial injections.
Zanim zaczniemy rozmawiać o tym, jak to się dzieje i jak je wykorzystać, najpierw dowiedzmy
się, na czym polega teraz bezpieczeństwo, jeśli jesteś uczniem na określonej stronie internetowej, jest szansa, że ta strona internetowa jest
trochę większa niż mniejsze witryny.
Więc będzie prawdopodobnie używać w bazie danych.
Większość stron internetowych innych niż bardzo proste strony internetowe korzysta z baz danych, a bazy danych służą do przechowywania danych.
Są więc nazwy użytkowników, hasła, artykuły informacyjne, wpisy na blogu, zdjęcia, które wszystko, co dzieje się na
stronie internetowej, są przechowywane w bazie danych i aplikacji internetowej znajdującej się w
bazie danych, a następnie wyświetlają dane użytkownikowi lub użytkownikom na ekranie, gdy użytkownicy robią
coś takiego. "Aktualizuję usuwanie lub modyfikowanie danych istniejących w bazie danych tej interakcji między aplikacją internetową a bazą
danych.
Zdarza się za pomocą języka o nazwie "wypytaj".
Pokażę ci, co mam na myśli przez bazę danych.
To tylko przykład.
Nie hackuję niczego.
Dosłownie zamierzam zalogować się do bazy danych zainstalowanej na naszej politycznej maszynie, a wtedy zobaczymy tylko,
co jest na niej przechowywane.
Więc nie robię hakowania.
Nic tu nie ma.
Nic dziwnego, że po prostu loguję się do mojej pomocy.
A potem umieszczam nazwę użytkownika root i mój potable nie używa hasła do The Root, które
jest naprawdę złe, ale oczywiście jest to system podatny na atak.
Więc zamierzam się zalogować i nie hackuję niczego, co nie robię żadnych zastrzyków Escoriala.
To jest tylko terminal dla mojego zapytania, którego aplikacja internetowa używałaby do interakcji z bazą
danych.
Próbuję więc pokazać, co mam na myśli przez bazy danych i co jest zapisane w ich bazach danych.
Pierwszą rzeczą, którą zamierzam zrobić, to po prostu wpisać bazy danych pokazów, które pokażą nam bazy danych
istniejące na naszym serwerze docelowym i widzę, że mamy schemat informacji.
Jest to domyślna baza danych przechowująca domyślne informacje o wszystkich innych bazach danych.
Tak więc ten zostanie domyślnie zainstalowany, gdy odpowiesz na pytanie, czy cała reszta została
zainstalowana dla każdej aplikacji internetowej, więc widzimy, że mamy 140, które przechowujemy.
Mamy jeden dla nas 10 i to jest ten cały dzień.
Mamy też jeden o nazwie Masquerier. Mamy jedną zwaną Mrs. Floyd i jeden dla VW, który jest tym,
z którego korzystamy z aplikacji internetowej, aby można było zobaczyć dla każdej aplikacji internetowej,
czy rzeczywiście posiadamy bazę danych, a ta baza danych zawiera informacje używane przez tę aplikację internetową.
Pozwól, że ci pokażę, co tam jest, więc skorzystam z bazy ostatniej kolei.
Więc to jest ten, który jest znowu ten na dzień Mattel dla tej aplikacji internetowej.
I możemy zobaczyć tabelę, więc jest to baza danych jako tabela.
Tabele i tabele zawierają informacje.
Powiem więc o tabelach Joe, aby zobaczyć stoły, które mamy, i widzisz, że mamy tabelę dla naszych kont,
więc możesz założyć, że ta tabela zawiera informacje o hasłach nazw użytkownika i informacje
o użytkownikach.
Mamy stolik na blogi.
Prawdopodobnie ma bloga i umieszcza tam posty i komentarze.
Możesz zobaczyć przechwytywanie danych na kartach kredytowych.
Tak więc istnieje tabela zawierająca karty kredytowe.
Teraz jest to ogromne na zakupy witryn.
W rzeczywistości będą miały karty kredytowe, które będą, a informacje o kartach kredytowych będą tam
przechowywane.
Zasadniczo baza danych przechowuje wszystkie dane, które są używane na stronie internetowej, ponieważ nie zaczynają się
od plików.
To nie jest wydajne.
A więc spójrzmy na konta i jeśli po prostu powiem, wybierz.
Tak właśnie to aplikacja internetowa będzie pobierać informacje z bazy danych.
Zostanie wybrana zamiast aktualizacji lub usunięta.
Więc robię tutaj polecenie select.
Znowu to nie jest hakowanie. Nie robię nic, tylko zbieram rzeczy.
Zamierzam wybrać gwiazdkę, co oznacza, że wszystko z kont było płatne i
jak możemy zobaczyć, czy możemy uzyskać.
Mamy identyfikator konta, nazwę użytkownika, hasło, a następnie podpis osoby.
A jeśli ta osoba jest piekarnikiem.
Teraz te kolumny zależą od tabeli, więc to faktycznie osoba, która zaprojektowała bazę
danych, projektuje tabele w kolumnach.
A następnie dane zostaną wstawione przez aplikację roboczą.
Widać więc, że mamy użytkownika o nazwie admin, a jego hasło to hasło administratora.
Widzimy, że mamy użytkownika o nazwie Adrian i jego hasło to samo hasło.
To tylko po to, aby pokazać, jak wyglądają bazy danych i po prostu je poczuć, ponieważ w przyszłych
filmach spróbujemy wykorzystać te bazy danych i uzyskać podobny dostęp do nich.
Więc po prostu zalogowałem się przy użyciu nazwy użytkownika i hasła.
Zwykle nie będziesz mieć takiego dostępu, ponieważ administrator sieci będzie miał taki dostęp, a przyszłe filmy wideo będą
próbować uruchomić niektóre ataki, aby uzyskać dostęp podobny do tego, abyśmy mieli pełną kontrolę nad bazą
danych abyśmy mogli czytać rzeczy i sprawdzać, czy możemy pisać lub modyfikować rzeczy.