Sisu

• Sammud
• Meetod 1 /3: SQL -i süstimine
• Meetod 2/3: juurparooli murdmine
• Meetod 3 /3: Andmebaasi vead
• Näpunäiteid
• Hoiatused

Oma andmebaasi häkkerite eest kaitsmiseks peate mõtlema nagu häkker. Kui oleksite häkker, siis millist teavet otsiksite? Kuidas sa selle kätte saaksid? Andmebaase on palju erinevaid ja nende häkkimiseks palju võimalusi. Sageli üritavad häkkerid murda juurparooli või kasutada ärakasutamist. Kui olete SQL -lausete ja andmebaasi põhikontseptsioonidega tuttav, proovige mõnd neist lõhkuda.

Sammud

Meetod 1 /3: SQL -i süstimine

1. 1 Uurige, kas andmebaasis on turvaauke. Selle meetodi jaoks peate mõistma andmebaasioperaatoreid. Käivitage oma brauser ja avage andmebaasi sisselogimislehe liides. Seejärel sisestage kasutajanime väljale „(üks hinnapakkumine). Klõpsake nuppu Logi sisse. Kui kuvatakse tõrketeade "SQL -i erand: tsiteeritud string pole valesti täidetud" või "Kehtetu märk", on andmebaas SQL -i süstimise suhtes haavatav.
2. 2 Leidke veergude arv. Minge tagasi andmebaasi sisselogimislehele (või mis tahes muule aadressile, mis lõpeb "id =" või "catid =") ja klõpsake aadressiribal. Vajutage aadressi järel tühikut ja sisestage järjekord 1 -ga, seejärel vajutage Sisestage... Suurendage numbrit 2 -ni ja vajutage Sisestage... Suurendage tellimust, kuni ilmub tõrge. Enne valesti kirjutatud numbrit sisestatud number on tegelik veergude arv.
3. 3 Uurige, millised postitused aktsepteerivad otsingupäringuid. Otsige üles aadressiriba ja muutke aadressi lõpp väärtuseks catid = 1 või id = 1 asemel catid = -1 või id = -1. Vajutage tühikut ja sisestage union, valides 1,2,3,4,5,6 (kui on 6 veergu).Loend peab olema kuni veergude koguarv, iga number eraldatakse komaga. Kliki Sisestage ja näete kõigi päringuid aktsepteerivate veergude numbreid.
4. 4 Sisestage veergu SQL -laused. Näiteks kui soovite teada saada praeguse kasutaja nime ja manustada koodi veergu 2, kustutage aadressiribalt kõik pärast id = 1 ja vajutage tühikut. Seejärel tippige union select 1, concat (user ()), 3,4,5,6--. Kliki Sisestage ja ekraanil kuvatakse praeguse andmebaasi kasutaja nimi. Sisestage mitmesuguseid SQL -avaldusi, et kuvada mitmesugust teavet, näiteks kasutajanimede ja paroolide loendit.

Meetod 2/3: juurparooli murdmine

1. 1 Proovige sisse logida superkasutajana, kasutades vaikeparooli. Mõnel andmebaasil puudub superkasutaja (administraatori) vaikeparool, seega proovige sisse logida tühja parooliga. Teistel andmebaasidel on vaikeparool, mille leiate hõlpsalt tehnilise toe foorumist.
2. 2 Proovige tavalisi paroole. Kui administraator on konto parooliga kaitsnud (mis on väga tõenäoline), proovige kasutada tavalisi kasutajanime ja parooli kombinatsioone. Mõned häkkerid postitavad avalikult pragunenud paroolide loendeid ja kasutavad spetsiaalseid krakkimisprogramme. Proovige erinevaid kasutajanime ja parooli kombinatsioone.
   • Paroolide kogu leiate sellelt usaldusväärselt saidilt: https://github.com/danielmiessler/SecLists/tree/master/Passwords.
   • Paroolide käsitsi sisestamine võib võtta väga kaua aega, kuid proovige siiski õnne ja alles seejärel liikuge raskekahurväe juurde.
3. 3 Kasutage parooli murdmise programmi. Kasutage erinevaid programme ja proovige oma parooli lõhkuda, sisestades tuhandeid sõnu ja tähtede, numbrite ja sümbolite kombinatsioone.
   • Populaarsed paroolimurdmisprogrammid on: DBPwAudit (Oracle, MySQL, MS-SQL ja DB2) ja Access Passview (MS Access). Nende abiga saate murda paljude andmebaaside parooli. Samuti leiate Google'is spetsiaalselt teie andmebaasi jaoks loodud jailbreak -programmi. Näiteks kui soovite Oracle'i andmebaasi häkkida, sisestage otsingukasti oracle db hack program.
   • Kui teil on andmebaasi majutavas serveris konto, käivitage räsimurdmise programm (näiteks Ripper John) ja proovige paroolifaili lõhkuda. Räsifail asub erinevates andmebaasides erinevates kohtades.
   • Laadige programmid alla ainult usaldusväärsetelt saitidelt. Enne programmide kasutamist uurige neid hoolikalt.

Meetod 3 /3: Andmebaasi vead

1. 1 Leidke ärakasutus. Sectools.org on juba kümme aastat koostanud erinevate kaitsemeetmete (sh ärakasutamise) nimekirja. Nende programmidel on hea maine ja süsteemiadministraatorid kasutavad neid oma süsteemide kaitsmiseks kogu maailmas. Avage nende ärakasutamise loend (või leidke need mõnelt muult usaldusväärselt saidilt) ja otsige programme või tekstifaile, mis võivad andmebaasidesse tungida.
   • Teine sait, millel on ärakasutamise loend, on www.exploit-db.com. Minge nende veebisaidile ja klõpsake linki "Otsi", seejärel leidke andmebaas, mida soovite häkkida (näiteks "oraakel"). Sisestage captcha vastavale väljale ja klõpsake otsingu nuppu.
   • Uurige kindlasti kõiki võimalusi, mida kavatsete testida, et saaksite teada, mida teha probleemi ilmnemisel.
2. 2 Leidke haavatav võrgustik jälgimise teel. Wardriving on sõitmine (jalgrattasõit või kõndimine) piirkonnas, kus võrgu skannimistarkvara on lubatud (nt NetStumbler või Kismet), et otsida turvamata võrke. Tehniliselt on kogude haldamine seaduslik, kuid ebaseaduslikud tegevused võrgust, mille te leidsite, ei ole.
3. 3 Kasutage ära haavatava võrgu andmebaasi auk. Kui teete midagi, mida ei tohiks teha, hoidke oma veebist eemale. Ühendage traadita ühenduse kaudu ühe avatud võrguga, mille leidsite jälgimise teel, ja käivitage valitud rakendus.

Näpunäiteid

• Hoidke olulised andmed alati tulemüüri taga.
• Kindlasti kaitske oma traadita võrku parooliga, et takistada hooldajatel kasutada teie koduvõrku ekspluateerimise käivitamiseks.
• Otsige teisi häkkereid ja küsige neilt näpunäiteid.Mõnikord ei leita häkkerite töö kõige kasulikumaid teadmisi avalikult.

Hoiatused

• Lugege häkkimise seaduste ja tagajärgede kohta teie riigis.
• Ärge kunagi proovige võrgust seadmesse ebaseaduslikku juurdepääsu saada.
• Kellegi teise andmebaasi sisselogimine on ebaseaduslik.