SQL Injection

[poringkun]

SQL Injection คือการใส่ คำสั่ง SQL ลงใน via เพื่อจะขอดูลักษณะของฐานข้อมูล หรือไม่ก็ เพื่อทำ bypass login


**Hidden Content: Check the thread to see hidden data.**

[ksolomon]

มานซ้ำกะของคนอื่นป่าวครับ ผมเห็นบทความเกี่ยวกับ sql injection กับ bypass เยอะแล้วนะครับ รบกวนดูของผู้อื่นด้วยครับ

แต่ถ้าไม่ซ้ำก็ขอโทษด้วยนะครับ เพราะผมก็ยังไม่ได้ดูของคุณเหมือนกัน ดูแต่ของคนอื่น ซึ่งส่วนใหญ่ก็ซ้ำๆ กันอ่ะครับ

[oneway]

SQL Injection คือ การที่ในเวปมีการรับข้อมูลจากผู้ใช้ แล้วนำไปใช้ในการสั่งให้ฐานข้อมูลทำงาน แล้ว ผู้ใช้พยายามที่จะหลอกโปรแกรมให้ทำงานนอกเหนือจากที่เราต้องการ หรือ หลอกให้โปรแกรมทำงานโดยผ่านการตรวจสอบเงื่อนไขบางอย่าง


Injection Flaws

หมายถึง แฮกเกอร์สามารถที่จะแทรก Malicious Code หรือ คำสั่งที่แฮกเกอร์ใช้ในการเจาะระบบส่งผ่าน Web Application ไปยังระบบภายนอกที่เราเชื่อมต่ออยู่ เช่น ระบบฐานข้อมูล SQL โดยวิธี SQL Injection หรือ เรียก External Program ผ่าน shell command ของระบบปฎิบัติการ เป็นต้น

ส่วนใหญ่แล้วแฮกเกอร์จะใช้วิธีนี้ในช่วงการทำ Authentication หรือการ Login เข้าระบบผ่านทาง Web Application เช่น Web Site บางแห่งชอบใช้ "/admin" ในการเข้าสู่หน้า Admin ของ ระบบ ซึ่งเป็นช่องโหว่ให้แฮกเกอร์สามารถเดาได้เลยว่า เราใช้ http://www.mycompany.com/admin ในการเข้าไปจัดการบริหาร Web Site ดังนั้นเราจึงควรเปลี่ยนเป็นคำอื่นที่ไม่ใช่ "/admin" ก็จะช่วยได้มาก

ทั้งหมดที่ผมเพียรพยายามพิมมานี้ ก็เพื่อแค่จะอธิบายให้ สมาชิกในเวปทราบครับ อาจเป็นประโยชน์ได้กับบางคนนะครับ

ซึ่งเป็น Basic Hack มากครับ บางคนอาจจะยังไม่รู้ ก็ให้คนที่ไม่ได้สมัคร สมาชิกมาอ่านกัน

อาจจะผ่านด่านการสมัคร ช่วยได้บ้างไม่มากก้น้อยครับเป็นความรู้


อิอิ

ขอบคุณมากๆครับ