בבקשה תתקנו, תעירו, תציעו.
לחץ כאן
(שימו לב שאין פרסומת מעצבנת בצד, מי שלא האמין למה שכתבתי שיש שם באגון..)
ראשי > אבטחת מידע > מאמר שכתבתי על advanced sql inj
בבקשה תתקנו, תעירו, תציעו.
לחץ כאן
(שימו לב שאין פרסומת מעצבנת בצד, מי שלא האמין למה שכתבתי שיש שם באגון..)
אבל יש קצת חוסר סדר..
המדריך עצמו הוא אחלה..
ואתה צריך לרשום למעלה שמי שקור אואתו צריך לדעת ידע קודם בSQL INJ..
ותפנה אותו לטקסט של underwarrior או משהו שמתחיל מהבסיס
לוגיקה
איך זה עובד
מה אומרות הפקודות כמו Union וכד’...
מה השאילתות המקוריות שע"י ריוורסינג אפשר להבין אותם - ולכן השאילתות שלך פועלות כמו שצריך.
כמו כן, לא מנומס להביא אתר ציבורי במדריך לפריצה!...
בסה"כ טקסט עם הרבה דוגמאות, טקסט תאכלס - אבל חסר לי קצת תיאוריה.
שמע לי זה חידש כי אני לא משהו זה לא הצד החזק שלי ..
O_o
טוב אני יודע שהדוגמאות שנתתי נראו קצת אמיתיות, אבל חח לא באמת התכוונתי שיהיה כזה אתר.
בגלל חוסר זמן לא הספקתי להוריד את הקישור האוטומטי שזה עושה בוורד..
זה בגלל שקראתם בריפרוף אמרתי שזה דוגמא.
רציתי להכין אתר להראות דוגמאות,
אבל מניסיון שלי שראיתי מדריכים כאלה,
אנשים חושבים שהם מצחיקים ואז מישהו יוריד את הדאטאבייס, ואים לי כח להתחיל לחסום רק פקודות מסויימות..
ד"א, גם במאמר של באנדרוואר נותנים דוגמאות על אתרים אמיתיים.
ממ..אם אני יביא אתר של ערבים ששונאים את ישראל זה יהיה בסדר בתור דוגמא?
בקשר לכל מה שאמרו לי להוסיף אני יוסיף
ויפרסם פה שהוספתי, אני גם יתקן את הבעיב עם הקישורים...
כל מי שקרא בריפרוף אני יסדר עכשיו קצת,
ואני ממליץ לקרוא הכל.
Black/Snake’,
לא הבנתי, מה הקשר??
ואני שמח שזה חידש לכמה אנשים משהו..
SkOd,
אם ידעת את כל הדברים האלה, למה אף אחד לא כותב עליהם?,
באמת שחיפשתי בכל מדריך אפשרי בכל שפה שאני מכיר(אנגלית ועיברית חח) ולא מצאתי.
בסוף נאלצתי ללמוד לבד הרבה דברים, וללמוד גם את שפת sql.
בשביל זה אפחד לא כותב?כדי שילמדו לבד?
נ.ב.
אולי יש לי שגיאות כתב שבתגובה הזאת אני פשוט לא רואה בעין ימין =/.
[ההודעה נערכה על-ידי HTK ב-24/06/2007 09:48:23]
[ההודעה נערכה על-ידי HTK ב-24/06/2007 10:03:04][ההודעה נערכה על-ידי HTK ב-24/06/2007 10:05:31]
ז"א, תכתוב את המאמר בקובץ PDF, תסדר אותו, תוסיף תמונות, וכו’.
בהצלחה! :)
בסדר אני מעביר אותו עכשיו, שמתי לב שהוא כתוב בצורה קצת ילדותית..
אני יחדש אותו, כתבתי גם הלוגיקה, כתבתי על
union select, convert.
על מה עוד לכתוב? ממש לפרט?
כאילו אפילו על and name!=’’?, כי כתבתי שצריך ידע קודם בsql..
Black/Snake’,
לא הבנתי, מה הקשר??
[ההודעה נערכה על-ידי HTK ב-24/06/2007 10:05:31]
כמו שמישהו כבר אמר פה, תסדר את הטקסט.. .בעיקר תקטין את הכתב (font).
לחץ כאן
הקטנתי ל12, הפכתי לpdf, שיניתי הרבה מאוד ועכשיו זה יצא הרבה יותר מקצועי.
הוספתע גם על פקודות וכו’.
בבקשה תקראו ולא רק "תרפרפו", אני מקווה שזה יחדש.
שוב, תתקנו,תציעו,תשאלו.
ביקשת, קיבלת...
כן יש שיפוץ רציני מהפעם הקודמות... הערות:
1. בעמוד הראשון איפה שכתבתקוד:;update userdetails set pass=’123’ where username=’assaf’—
זה לא חובה לעשות את זה על שאילתה שמגיעה מ userdetails, אין בעייה להריץ כזה דבר גם אם השאילתה מגיעה מה topicdata.
2. בעמוד השני בהתחלה היה נחמד אם היית מציין את העובדה שה id המקורי חייב להיות id שלא קיים כדי שזה יעבוד...
ובנוגע לפקודת ה UNION, לא יודע עד כמה דייקת בתיאור שלך
3.במקום לעשות != 5,10, 30 פעם (שונה אחד עבור כל טבלה שאנחנו כבר יודעים את שמה) ניתן לעשות NOT IN (’tablename1’, ’tablename2’...)
4. מכיוון שהטקסט שלך מניח שקיים ידע מראש בשפת SQL (וידע לא כ"כ שטחי) הייתי ממליץ שתרשום ’תנאים מקדימים’ לטקסט הזה.
נ.ב: לא הבנתי מה זה הנספח הזה ^_^
הטקסט יותר עוסק בטבלה sysobjects ולכן עדיף שתפרט עליו קצת יותר.
הטקסט מאוד מבולגן , למה יש הסבר ל convert ו union בסוף ולא בהתחלה?
אני לא קראתי את הטקסט לעומק , אבל עברתי על רובו ומשהו בו מאוד מבולגן וקצת לא מובן.
אם תצליח לעבוד קצת על הניסוח , הסדר , יותר הסבר ודוגמאות הטקסט יהיה מעולה.
תנסה עוד קצת לעבוד עליו , יש הרבה מידע בגוגל שיכול לעזור לך להעשיר את הטקסט... (חפש sysobjects information ותוסיף לטקסט)
בהצלחה
[ההודעה נערכה על-ידי B-HFH ב-27/06/2007 21:44:12]
בקשר לנספח זה פשלה שלי..חח..
פשוט שכחתי להזכיר ששמתי את זה, זה נועד למצב שאתה מנסה להוציא מידע בעיברית מטבלה ע"י יצירת שגיאה, ואז זה יוצא בג’יבריש אז שמתי מפתח.
בקשר לNOT IN, זה הרבה פחות נוח לעבוד איתו(לדעתי לפחות), אבל אני יכול להוסיף על זה.
"זה לא חובה לעשות את זה על שאילתה שמגיעה מ userdetails, אין בעייה להריץ כזה דבר גם אם השאילתה מגיעה מה topicdata."
לא יודע כמה עמוק קראת, אבל לפי הדוגמאות הם בכלל לא על אותו מסד.
B-HFH, איפה אתה חושב שכדאי לשים את ההסברים?
ותודה, אני יעבוד עליו.
הסיבה היא שזה לא יעבוד זה לא בגלל הטבלה... זה בגלל המסד.
וברור שהסיבה זה המסד ולא הטבלה, אני לא יסביר את זה כי אמורים להבין לבד.
תגידו לי מה אתם חושבים על זה:
" target="_blank">http://www.planetnana.co.il/haritzik/try.pdf
בעע זה דופק ת’קישור, פשוט תעתיק לכתובת.
זה הקטע על עקיפת מסמכים, ניסיתי להסביר איך זה פועל ולא איך מפעילים את זה.
[ההודעה נערכה על-ידי HTK ב-29/06/2007 13:31:15][ההודעה נערכה על-ידי HTK ב-29/06/2007 13:32:03]
כל הכבוד אחי
נראה מסמך מושקע וטוב.. נותן ידע חדש על הטבלאות sys... ואופן השימוש בהן..
יש כמה דברים שאתה יכול עוד להרחיב עליהם, כמה דברים שיעשו את ההסברים הרבה יותר מובנים, אבל בתכלס.. כל הכבוד אחי.
תפרסם את זה.
טוב אני יודע שהדוגמאות שנתתי נראו קצת אמיתיות, אבל חח לא באמת התכוונתי שיהיה כזה אתר.
בגלל חוסר זמן לא הספקתי להוריד את הקישור האוטומטי שזה עושה בוורד..
זה בגלל שקראתם בריפרוף אמרתי שזה דוגמא.
רציתי להכין אתר להראות דוגמאות,
אבל מניסיון שלי שראיתי מדריכים כאלה,
אנשים חושבים שהם מצחיקים ואז מישהו יוריד את הדאטאבייס, ואים לי כח להתחיל לחסום רק פקודות מסויימות..
ד"א, גם במאמר של באנדרוואר נותנים דוגמאות על אתרים אמיתיים.
ממ..אם אני יביא אתר של ערבים ששונאים את ישראל זה יהיה בסדר בתור דוגמא?
בקשר לכל מה שאמרו לי להוסיף אני יוסיף
ויפרסם פה שהוספתי, אני גם יתקן את הבעיב עם הקישורים...
כל מי שקרא בריפרוף אני יסדר עכשיו קצת,
ואני ממליץ לקרוא הכל.
Black/Snake’,
לא הבנתי, מה הקשר??
ואני שמח שזה חידש לכמה אנשים משהו..
SkOd,
אם ידעת את כל הדברים האלה, למה אף אחד לא כותב עליהם?,
באמת שחיפשתי בכל מדריך אפשרי בכל שפה שאני מכיר(אנגלית ועיברית חח) ולא מצאתי.
בסוף נאלצתי ללמוד לבד הרבה דברים, וללמוד גם את שפת sql.
בשביל זה אפחד לא כותב?כדי שילמדו לבד?
נ.ב.
אולי יש לי שגיאות כתב שבתגובה הזאת אני פשוט לא רואה בעין ימין =/.
ציטוט:אני פשוט לא בבית כמה ימים אני יוסיף עוד קטע קטן על איך עובד הרעיון של עקיפת login,.
בקשר לנספח זה פשלה שלי..חח..
פשוט שכחתי להזכיר ששמתי את זה, זה נועד למצב שאתה מנסה להוציא מידע בעיברית מטבלה ע"י יצירת שגיאה, ואז זה יוצא בג’יבריש אז שמתי מפתח.
בקשר לNOT IN, זה הרבה פחות נוח לעבוד איתו(לדעתי לפחות), אבל אני יכול להוסיף על זה.
"זה לא חובה לעשות את זה על שאילתה שמגיעה מ userdetails, אין בעייה להריץ כזה דבר גם אם השאילתה מגיעה מה topicdata."
לא יודע כמה עמוק קראת, אבל לפי הדוגמאות הם בכלל לא על אותו מסד.
B-HFH, איפה אתה חושב שכדאי לשים את ההסברים?
ותודה, אני יעבוד עליו.
כאילו בכוונה אפחד לא עונה לי =/ ?
SkOd
אם ידעת את כל הדברים האלה, למה אף אחד לא כותב עליהם?
למה אף אחד לא כתב עליהם? מאיפה אני אמור לדעת?