Verilənlər bazanızın hakerlərdən etibarlı olmasını təmin etməyin ən yaxşı yolu, haker kimi düşünməkdir. Bir haker olsaydınız, hansı məlumatları axtarardınız? Necə əldə etməyə çalışardınız? Çoxsaylı verilənlər bazası növləri və onları sındırmağın bir çox fərqli yolu var, lakin əksər hakerlər ya verilənlər bazası kök şifrəsini sındırmağa çalışacaq, ya da məlum bir verilənlər bazası istismarını həyata keçirəcəklər. SQL ifadələrini bilirsinizsə və verilənlər bazasının əsaslarını başa düşürsünüzsə, bir verilənlər bazasını sındıra bilərsiniz.
Addımlar
Metod 1 /3: SQL enjeksiyonundan istifadə
Addım 1. Verilənlər bazasının həssas olub olmadığını öyrənin
Bu metoddan istifadə etmək üçün verilənlər bazası bəyanatları ilə əlinizdə olmalısınız. Veb brauzerinizdə verilənlər bazası veb interfeysi giriş ekranını açın və istifadəçi adı sahəsinə a '(tək sitat) yazın. "Giriş" düyməsini basın. "SQL İstisnası: alınmış sətir düzgün şəkildə sonlandırılmadı" və ya "etibarsız xarakter" kimi bir şey yazan bir səhv görürsünüzsə, verilənlər bazası SQL enjeksiyonlarına qarşı həssasdır.
Addım 2. Sütun miqdarını tapın
Verilənlər bazası üçün giriş səhifəsinə qayıdın (və ya "id =" və ya "catid =" ilə bitən hər hansı digər URL) və brauzer ünvan qutusuna daxil olun. URL -dən sonra boşluq çubuğuna vurun və yazın
1 -ə qədər sifariş verin
sonra hit Enter düyməsini basın. Nömrəni 2 -ə qaldırın və ↵ Enter düyməsini basın. Səhv alana qədər artırmağa davam edin. Həqiqi sütun sayı, xətanı verən nömrədən əvvəl daxil etdiyiniz rəqəmdir.
Addım 3. Hansı sütunların sorğu qəbul etdiyini tapın
Ünvan çubuğundakı URL -nin sonunda
catid = 1
və ya
id = 1
-ə
katid = -1
və ya
id = -1
. Boşluq çubuğuna vurun və yazın
birlik seçin 1, 2, 3, 4, 5, 6
(6 sütun varsa). Nömrələr sütunların ümumi sayına qədər sayılmalıdır və hər biri vergüllə ayrılmalıdır. Enter düyməsini basın və sorğunu qəbul edəcək hər bir sütunun nömrələrini görəcəksiniz.
Addım 4. SQL ifadələrini sütuna daxil edin
Məsələn, mövcud istifadəçini bilmək və 2 -ci sütuna enjeksiyon qoymaq istəyirsinizsə, URL -də id = 1 -dən sonra hər şeyi silin və boşluq çubuğuna vurun. Sonra yazın
birlik seçin 1, concat (user ()), 3, 4, 5, 6--
. ↵ Daxil edin və ekranda mövcud verilənlər bazası istifadəçisinin adını görəcəksiniz. İstifadəçi adlarının siyahısı və çatlamaq üçün parol kimi məlumatları qaytarmaq istədiyiniz hər hansı bir SQL ifadəsini istifadə edin.
Metod 2 /3: Veritabanı Kök Şifrəsini Çıxarmaq
Addım 1. Varsayılan parol ilə kök olaraq daxil olmağa çalışın
Bəzi verilənlər bazalarında kök (admin) şifrəsi yoxdur, buna görə parol sahəsini boş buraxa bilərsiniz. Bəziləri, verilənlər bazası texniki dəstək forumlarında axtarış edərək asanlıqla tapıla bilən standart parollara malikdir.
Addım 2. Ümumi parolları sınayın
İdarəçi hesabı bir parolla təmin etdi (ehtimal olunan bir vəziyyət), ümumi istifadəçi adı/şifrə birləşmələrini sınayın. Bəzi hakerlər yoxlama vasitələrindən istifadə edərkən sındırdıqları parolların siyahısını açıq şəkildə yerləşdirirlər. Fərqli istifadəçi adı və parol birləşmələrini sınayın.
- Toplanmış parol siyahıları olan nüfuzlu bir sayt
- Şifrələri əllə sınamaq çox vaxt aparar, amma böyük silahları sındırmadan əvvəl vurmağın heç bir ziyanı yoxdur.
Addım 3. Şifrə yoxlama vasitəsindən istifadə edin
Şifrə çatlayana qədər kobud güclə minlərlə lüğət sözünü və hərf/rəqəm/simvol birləşməsini sınamaq üçün müxtəlif vasitələrdən istifadə edə bilərsiniz.
-
DBPwAudit (Oracle, MySQL, MS-SQL və DB2 üçün) və Access Passview (MS Access üçün) kimi vasitələr əksər verilənlər bazalarına qarşı işlədilə bilən məşhur parol yoxlama vasitələridir. Xüsusilə verilənlər bazanız üçün daha yeni parol yoxlama vasitələri üçün Google -da axtarış edə bilərsiniz. Məsələn, bir axtarış
parol yoxlama vasitəsi oracle db
- bir Oracle verilənlər bazasını sındırırsınızsa.
- Verilənlər bazasına ev sahibliyi edən serverdə bir hesabınız varsa, verilənlər bazasının parol faylına qarşı John the Ripper kimi bir hash kraker işlədə bilərsiniz. Hash faylının yeri verilənlər bazasından asılı olaraq fərqlidir.
- Yalnız etibar edə biləcəyiniz saytlardan yükləyin. İstifadə etməzdən əvvəl alətləri geniş araşdırın.
Metod 3 /3: Verilənlər bazası istismarını işlətmək
Addım 1. Qaçmaq üçün bir istismar tapın
Sectools.org, on ildən çoxdur ki, təhlükəsizlik vasitələrini (istismar daxil olmaqla) kataloqlaşdırır. Onların alətləri nüfuzludur və təhlükəsizlik testləri üçün bütün dünyada sistem idarəçiləri tərəfindən istifadə olunur. Verilənlər bazasındakı təhlükəsizlik boşluqlarından istifadə etməyinizə kömək edəcək vasitələr və ya mətn faylları tapmaq üçün "İstismar" verilənlər bazasına (və ya başqa etibarlı bir sayt tapın) baxın.
- İstismar edən başqa bir sayt www.exploit-db.com saytıdır. Veb saytlarına gedin və Axtarış linkinə vurun, sonra hack etmək istədiyiniz verilənlər bazası növünü axtarın (məsələn, "oracle"). Verilən kvadratda Captcha kodunu yazın və axtarın.
- Sınamağı planlaşdırdığınız bütün istismarları araşdırdığınızdan əmin olun ki, potensial problemlər yaranarsa nə edəcəyinizi biləsiniz.
Addım 2. Qoruyaraq həssas bir şəbəkə tapın
Sərbəst gəzmək, təhlükəsiz olmayan bir şəbəkə arxasında bir şəbəkə tarama vasitəsi (NetStumbler və ya Kismet kimi) işləyərkən bir ərazini idarə etmək (və ya velosiped sürmək və ya gəzmək). Vardarlıq texniki cəhətdən qanunidir. Qulluq edərkən tapdığınız bir şəbəkədən qanunsuz bir şey etmək, bu deyil.
Addım 3. Həssas şəbəkədən verilənlər bazası istismarından istifadə edin
Etməməyiniz lazım olan bir şeyi edirsinizsə, bunu öz şəbəkənizdən etmək yaxşı bir fikir deyil. Qorunarkən tapdığınız açıq şəbəkələrdən birinə simsiz olaraq qoşulun və araşdırdığınız və seçdiyiniz istismarı idarə edin.
İpuçları
- Həmişə bir təhlükəsizlik divarının arxasında həssas məlumatları saxlayın.
- Qulluqçuların istismar etmək üçün ev şəbəkənizdən istifadə etməməsi üçün simsiz şəbəkələrinizi bir parol ilə qoruduğunuzdan əmin olun.
- Digər hakerləri tapın və məsləhətlər istəyin. Bəzən ən yaxşı hack məlumatları ümumi İnternetdən kənarda saxlanılır.
Xəbərdarlıqlar
- Sizin olmayan bir verilənlər bazasına giriş əldə etmək qanunsuzdur.
- Ölkənizdə hakerliyin qanunlarını və nəticələrini anlayın.
- Heç vaxt öz şəbəkənizdən bir maşına qanunsuz giriş əldə etməyə çalışmayın.
