تازه ها: 
از وای فای رایگان بترسید!

از وای فای رایگان بترسید!

یکی از مهم ترین موضوعات در فضای مجازی حفظ حریم شخصی و حیاتی ترین اطلاعات است که با یک اشتباه رایج عموما شما را در معرض خطر قرار می دهد. ✓با اینکه همه ما می دانیم که یکی از کلیشه ای ترین روش های هک کردن وصل شدن به اینترنت های ناشناخته است ولی همچنان کاربران به محض یافتن یک وای فای رایگان به آن متصل می شوند. بیشتر

مراقب باشید در تلگرام هک نشوید!

مراقب باشید در تلگرام هک نشوید!

آیا تلگرام قابل هک شدن است؟ هک تلگرام چگونه انجام می‌پذیرد؟ چگونه از هک شدن تلگرام خود جلوگیری کنیم؟ هر آنچه که درباره هک تلگرام باید بدانید. تلگرام چقدر امن است؟ بیشتر

ردیابی و فرمت گوشی سرقتی از طریق جیمیل

ردیابی و فرمت گوشی سرقتی از طریق جیمیل

این ابزار با اکانت گوگل شما سینک می شود و شما قادر به حذف تمامی فایل های روی گوشی از راه دور ، قرار دادن و تغییر رمز گوشی و یافتن آن از طریق نقشه های گوگل می باشید. این ابزار دقیقا مانند یک ردیاب در صورت حرکت گوشی می توانید آن را به صورت زنده ردیابی کنید اگر احساس کردید به گوشی خود نزدیک شده اید بدون دسترسی و از راه دور قادر به صدا در آوردن آزیر مخصوص خواهید شد. بیشتر

ردیابی افراد از طریق شماره موبایل!!!

ردیابی افراد از طریق شماره موبایل!!!

هر آنچه که باید درباره ردیابی و بدست آوردن موقعیت از طریق شماره موبایل بدانید. با تکنولوژی‌های ردیابی آشنا شوید و در دام کلاه برداران نیفتید. در چند سال اخیر با توجه به افزایش چشمگیر استفاده از گوشی‌های هوشمند (اسمارت فون‌ها)، کلاه برداران زیادی هم بازار خود را پیدا کرده و با روش‌های گوناگون سعی می‌کنند کاربران را مورد هدف قرار داده اند بیشتر

افزایش سرعت گوشی اندرویدی

افزایش سرعت گوشی اندرویدی

شاید شما هم با مشکل کند شدن تلفن همراه اندرویدتان دست وپنجه نرم می کنید، اما دیگر نگران کندبودن گجت اندرویدی خود نباشید و با این روش بسیار ساده و کاربردی (بدون هیچگونه عوارض) سرعت گوشی خودتان را برای همیشه بالا ببرید: بیشتر

 

SQL Injection چیست ؟ و نحوه جلوگیری از آن

SQL Injection در لغت به معنای ترزیق کد SQL و در اصطلاح SQL Injectionیک نوع حمله با استفاده از ارسال یک رشته(String) حاوی کد مخرب به SQL Server Instance می باشد. کد مخرب حاوی یک دستور معتبر SQL  است که به طورطبیعی توسط SQL  سرور اجرا می شود.

فرم اولیه این نوع حمله شامل درج یک دستور SQL در مقادیری است که توسط برنامه از کاربر دریافت می شود. به طور مثال فرض کنید برنامه نام حیک طرف حساب را دریافت و لیست سفارشات خرید مربوط به طرف حساب انتخابی را لیست می کند. کد مربوط به تهیه لیست می تواند شبیه به زیر باشد:

SELECT * FROM CustomerOrder WHERE CustomerName=’@pUserInput’

که @pUserInput پارامتر دریافت شده از کاربر است حال اگر کاربر قصد برنامه ریزی یک حمله را داشته باشد می تواند رشته ای با فرمت زیر را به عنوان نام طرف حساب به برنامه ارائه کند:

 

Mohammad’; DELETE FROM CustomerOrder—

دستور SQL که به سرور SQL ارسال می شود به صورت زیر خواهد بود:

 

SELECT * FROM CustomerOrder WHERE CustomerName=’ Mohammad’; DELETE FROM CustomerOrder—

ارسال این دستور به SQL سرور حاصلی جز حذف کلیه طرف حسابهای ثبت شده در پایگاه داده نخواهد داشت. توجه داشته باشید که (;) به مفهوم پایان یک دستور و شروع یک دستور دیگر بوده و (–) به مفهوم آنست که مابقی عبارت بعد از – برای SQL به منزله کامنت تلقی خواهد شد.

Image result for ‫اس کیو ال اینجکشن‬‎

ورودی های sql injection کجا هستند؟

ورودی اطلاعات به سایت شما معمولا کنترل هایی شبیه textBox , MemoBox , ComboBox  و نظیر اینها هستند. ولی کنترلی که کاربر بتواند در آن کد بنویسد تکس باکس می باشد. همچنین خروجی برخی صفحات شما ورودی صفحه دیگریست که اطلاعات صفحه قبل را با queryString می گیرد.

  1. ورودی از تکس باکس textBox
  2. ورودی از آدرس بار QueryString
حتما بخوانید  حمله xss چیست؟

 

چگونه از sql injection جلوگیری کنیم؟

جهت جلوگیری از حملات از نوع SQL Injection باید تمامی اطلاعاتی که توسط برنامه از کاربر دریافت می شود به دقت ارزیابی و محتوای مشکوک و مخاطره آمیز پذیرش نشود. رعایت موارد زیر می تواند به طور قابل قبولی از حملات SQL Injection جلوگیری نماید:

۱-     سایز و نوع دیتا دریافتی کنترل و محدودیت های وابسته به نوع اطلاعات موردنظراعمال شود.

۲-     محتوای دیتا کنترل و از پذیرش اطلاعات باینری،کاراکترها یک امنتو … خود داری شود.

۳-     هیچگاه به طورمستقیم از دیتای وارد شده توسط کاربر دستورSQL ساخته نشود.

۴-     کاراکترهای خاص نظیر(;),(‘),(–),(xp_),(/*  */) در اطلاعات دریافت شده از کاربر پذیرش نشده و یا به نحو مناسب جایگزین شود.

۵-    سایزونوع پارامترهای ورویSP ها کنترل شود.

نکته ۱: اطلاعات دریافتی الزام به طور مستقیم از کاربر دریافت نمی شود و می تواند شامل اطلاعاتی باشد که قبلا در جداول پایگاه داده ذخیره شده است.

همچنین با کنترل ورودی های سایت می توان این کار را انجام داد.

۱- سعی کنید تا می توانید اطلاعات مهم را از طریق queryString پاس ندهید و از جایگزین هایی مانند Session، static variables , cooki و … استفاده کنید. ولی آی دی ها را از طریق queryString بفرستید، چرا که در موتورهای جستجو صفحات جداکانه برای سایتتان محسوب شود.

۲-حال فرض کنید مجبورید اطلاعات را از queryString پاس بدهید. در این صورت بهترین و مطمان ترین راه این است که داده ها را به صورت پارامتری در sql اجرا کنید تا مشکل هک بوجود نیاید. پارامتر مزیتی که دارد این است که هکر هرچقدر هم کد بنویسد و هر کدی بنویسد فقط به عنوان یک پارامتر ورودی در sql محسوب می شود و بخشی از دستور نمی شود. این موضوع در مورد تکس باکس ها هم وجود دارد.

حتما بخوانید  حمله فیشینگ (Phishing) چیست؟ و نحوه جلوگیری از آن ها

۳- باز هم فرض می کنیم مجبورید از روش غیر پارامتری استفاده کنید. در اینجا باید داده های ورودی را چک کنید که کد اینجکشن نباشد:

  1. روش اول اینست که آی دی ها را به نوع عدد صحیح تبدیل کنید تا هکر نتواند به جز ارقام وارد کند.
  2. روش دوم اینست که عبارات مشکوک که سایت شما را هک می کند فیلتر کنید. مانند: union select, Table_Name, Order by , — و مانند اینها
  3. راه بعدی اینست که ورودی ها را انکد کنید.

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *