Мәліметтер қорын қалай бұзуға болады

Вызшақ: Міндетті әлеуметтік медициналық сақтандыру статусын тексеру

Мазмұны

Қадамдар
3 -ші әдіс 1: SQL инъекциясы
3 -ші әдіс 2: Түбірлік парольді бұзу
3 -ші әдіс 3: Деректер базасының кемшіліктері
Кеңестер
Ескертулер

Деректер қорын хакерлерден қорғау үшін хакер сияқты ойлау керек. Егер сіз хакер болсаңыз, қандай ақпарат іздеген болар едіңіз? Қалай алар едіңіз? Деректер қорының көптеген түрлері және оларды бұзудың көптеген жолдары бар. Көбінесе хакерлер түпнұсқалық құпия сөзді бұзуға немесе эксплойтты қолдануға тырысады. Егер сіз SQL операторларымен және мәліметтер базасының негізгі түсініктерімен таныс болсаңыз, олардың біреуін бұзып көріңіз.

Қадамдар

3 -ші әдіс 1: SQL инъекциясы

1 Дерекқорда осалдықтар бар -жоғын біліңіз. Бұл әдіс үшін дерекқор операторларын түсіну қажет. Браузерді іске қосыңыз және дерекқорға кіру бетінің интерфейсін ашыңыз. Содан кейін пайдаланушы аты өрісіне '(бір дәйексөз) енгізіңіз. Кіру түймесін басыңыз. Егер сіз «SQL Ерекшелігі: Дәйексөз жолы қате толтырылмаған» немесе «Жарамсыз таңба» қатесін алсаңыз, дерекқор SQL инъекциясына осал болады.
2 Бағандар санын табыңыз. Деректер базасына кіру бетіне (немесе «id =» немесе «catid =» деп аяқталатын кез келген басқа мекенжайға) оралыңыз және мекенжай жолағын басыңыз. Мекенжайдан кейін бос орынды басыңыз және 1 -ге тапсырыс енгізіңіз, содан кейін түймесін басыңыз ↵ Кіру... 2 санын көбейтіп, түймесін басыңыз ↵ Кіру... Қате пайда болғанша тапсырысты көбейтуді жалғастырыңыз. Қате жазылған нөмірден бұрын енгізілген сан бағандардың нақты саны болады.
3 Қандай хабарламалар іздеу сұрауларын қабылдайтынын біліңіз. Мекенжай жолағын табыңыз және мекенжайдың соңын catid = 1 немесе id = 1 -ден catid = -1 немесе id = -1 -ге өзгертіңіз. Бос орын басыңыз және одақ теріңіз 1,2,3,4,5,6 таңдаңыз (егер 6 баған болса).Есеп бағандардың жалпы санына дейін болуы керек, әр цифр үтірмен бөлінген. Басыңыз ↵ Кіру және сіз сұраныстарды қабылдайтын барлық бағандардың нөмірлерін көресіз.
4 SQL операторын бағанға енгізіңіз. Мысалы, егер сіз ағымдағы пайдаланушының атын білгіңіз келсе және кодты 2 -бағанға енгізгіңіз келсе, мекен -жай жолында id = 1 -ден кейін бәрін өшіріп, бос орын жолағын басыңыз. Содан кейін union таңдаңыз 1, concat (user ()), 3,4,5,6--. Басыңыз ↵ Кіру және экранда дерекқордың ағымдағы пайдаланушысының аты көрсетіледі. Әр түрлі ақпаратты көрсету үшін әр түрлі SQL мәлімдемелерін енгізіңіз, мысалы, пайдаланушы аты мен құпия сөздердің тізімі.

3 -ші әдіс 2: Түбірлік парольді бұзу

1 Әдепкі құпия сөзді пайдаланып супер пайдаланушы ретінде кіріп көріңіз. Кейбір дерекқорларда әдепкі пайдаланушы (әкімші) құпия сөзі жоқ, сондықтан құпия сөзбен кіріп көріңіз. Басқа мәліметтер қорында әдепкі құпия сөз бар, оны техникалық қолдау форумында оңай табуға болады.
2 Жалпы құпия сөздерді қолданып көріңіз. Егер әкімшінің есептік жазбасы құпия сөзбен қорғалған болса (мүмкін), жалпы пайдаланушы аты мен құпия сөз тіркесімін қолданып көріңіз. Кейбір хакерлер жарылған парольдердің тізімін көпшілік алдында жариялайды және олар арнайы крекингтік бағдарламаларды қолданады. Пайдаланушы аты мен құпия сөздің әр түрлі комбинациясын қолданып көріңіз.
- Құпия сөздер жинағын мына сенімді сайттан таба аласыз: https://github.com/danielmiessler/SecLists/tree/master/Passwords.
- Құпия сөздерді қолмен енгізу өте ұзақ уақытты алуы мүмкін, бірақ бәрібір сәттілікке тырысыңыз, содан кейін ғана ауыр артиллерияға көшіңіз.
3 Құпия сөзді бұзу бағдарламасын қолданыңыз. Әр түрлі бағдарламаларды қолданыңыз және мыңдаған сөздер мен әріптер, сандар мен таңбалардың комбинациясын енгізу арқылы құпия сөзді бұзуға тырысыңыз.
- Құпия сөзді бұзудың танымал бағдарламалары: DBPwAudit (Oracle, MySQL, MS-SQL және DB2 үшін) және Access Passview (MS Access үшін). Олардың көмегімен көптеген мәліметтер қорының құпия сөзін бұзуға болады. Сондай -ақ, Google -да сіздің мәліметтер базаңыз үшін арнайы жасалған джейлбрейк бағдарламасын таба аласыз. Мысалы, Oracle деректер қорын бұзғыңыз келсе, іздеу жолағына oracle db hack бағдарламасын енгізіңіз.
- Егер сізде дерекқорды орналастыратын серверде тіркелгі болса, хэш-крекинг бағдарламасын іске қосыңыз (мысалы, Джон Риппер) және пароль файлын бұзуға тырысыңыз. Хэш -файл әр түрлі мәліметтер базасында әр жерде орналасады.
- Бағдарламаларды тек сенімді сайттардан жүктеңіз. Қолданар алдында бағдарламаларды мұқият оқып шығыңыз.

3 -ші әдіс 3: Деректер базасының кемшіліктері

1 Қолдануды табыңыз. Sectools.org он жылдан бері әр түрлі қорғаныстардың (соның ішінде ерліктердің) тізімін жасайды. Олардың бағдарламалары жақсы беделге ие және оларды жүйе әкімшілері бүкіл әлем бойынша өз жүйелерін қорғау үшін қолданады. Олардың эксплуатациялық тізімін ашыңыз (немесе оларды басқа сенімді сайттан табыңыз) және мәліметтер базасына енетін бағдарламаларды немесе мәтіндік файлдарды іздеңіз.
- Ерліктер тізімі бар басқа сайт-www.exploit-db.com. Олардың веб -сайтына кіріп, «Іздеу» сілтемесін нұқыңыз, содан кейін бұзғыңыз келетін дерекқорды табыңыз (мысалы, «oracle»). Тиісті өріске captcha енгізіңіз және іздеу түймесін басыңыз.
- Егер сіз проблема туындаса не істеу керектігін білу үшін тестілеуді жоспарлап отырған кез келген ерліктерді міндетті түрде зерттеңіз.
2 Қорғану арқылы осал желіні табыңыз. Wardriving - бұл қауіпсіз желілерді іздеу үшін желілік сканерлеу бағдарламасы қосылған (NetStumbler немесе Kismet сияқты) аймақты айналып өту (велосипедпен жүру немесе серуендеу). Техникалық тұрғыдан, қорғаныс заңды, бірақ сіз қорғану арқылы тапқан желідегі заңсыз әрекеттер олай емес.
3 Әлсіз желідегі дерекқордың саңылауын пайдаланыңыз. Егер сіз жасамайтын нәрсені жасасаңыз, интернеттен аулақ болыңыз. Сымсыз байланыс арқылы қорғану арқылы табылған ашық желілердің біріне қосылыңыз және таңдалған үлесті іске қосыңыз.

Кеңестер

Әрқашан брандмауэр артында маңызды деректерді сақтаңыз.
Стрейдерлердің үй желісін пайдалануды болдырмау үшін сымсыз желіңізді құпия сөзбен қорғауды ұмытпаңыз.
Басқа хакерлерді тауып, олардан бірнеше кеңестер сұраңыз.Кейде хакерлердің жұмысы туралы ең пайдалы білімді көпшіліктің қолынан табуға болмайды.