पकड़ने SQL इंजेक्शन और अन्य दुर्भावनापूर्ण वेब अनुरोध

वोट
17

मैं एक उपकरण है जो (इस तरह के स्पष्ट एसक्यूएल इंजेक्शन हो जाता है या की पोस्ट) दुर्भावनापूर्ण अनुरोध पता लगा सकते हैं और तुरंत अनुरोधकर्ता का IP पता प्रतिबंधित कर देगा / एक काली सूची में जोड़ने के लिए देख रहा हूँ। मुझे पता है कि एक आदर्श दुनिया में हमारे कोड इस तरह के अनुरोध को संभालने और तदनुसार उन्हें इलाज के लिए सक्षम होना चाहिए, लेकिन इस तरह के एक उपकरण में मूल्य का एक बहुत है, तब भी जब साइट हमलों की इन प्रकार से सुरक्षित है, के रूप में यह करने के लिए नेतृत्व कर सकते हैं बैंडविड्थ की बचत, एनालिटिक्स की ब्लोट को रोकने, आदि

आदर्श रूप में, मैं एक पार मंच (के लिए देख रहा हूँ LAMP/.NET) समाधान है कि प्रौद्योगिकी के ढेर से एक उच्च स्तर पर बैठता है; शायद वेब सर्वर या हार्डवेयर स्तर पर। मैं हालांकि अगर यह मौजूद है यकीन नहीं है,।

किसी भी तरह से, मैं अपने समुदाय की प्रतिक्रिया सुनने के लिए इतना है कि मैं देख सकता हूँ क्या मेरे विकल्प कार्यान्वयन और दृष्टिकोण के संबंध में हो सकता है चाहते हैं।

04/08/2008 को 15:40
का स्रोत उपयोगकर्ता
अन्य भाषाओं में...                            


8 जवाब

वोट
10

आपका लगभग इसे गलत तरीके से, कोई 3party उपकरण है कि आपके आवेदन के तरीकों / नामकरण / डेटा / डोमेन के बारे में पता नहीं है पूरी तरह से आप की रक्षा करने में सक्षम होने जा रहा करने के लिए जा रहा है की तलाश में।

एसक्यूएल इंजेक्शन रोकथाम की तरह कुछ, कुछ है कि, कोड में हो गया है और सबसे अच्छा लोगों कि SQL लिखा द्वारा लिखित है क्योंकि वे लोगों को है कि जब तक अपनी परियोजना बहुत अच्छा डॉक्स है क्या / चाहिए उन क्षेत्रों में होना चाहिए (पता चल जाएगा रहे हैं )

आपका सही है, यह सब से पहले किया गया है। आप काफी पहिया बदलने के लिए है न, लेकिन आप क्योंकि हर किसी का धुरा व्यास में एक अंतर के कारण एक नया एक बनाने की क्या ज़रूरत है।

यह एक ड्रॉप में और चलाने समस्या नहीं है, तुम सच में वास्तव में क्या एसक्यूएल इंजेक्शन है इससे पहले कि आप को रोका जा सकता से परिचित होने की क्या ज़रूरत है। यह एक डरपोक समस्या है, तो यह भी उतना ही डरपोक सुरक्षा लेता है।

इन 2 लिंक मुझे कहीं अधिक तो विषय शुरू करने के लिए पर मूल बातें सिखाया, और मुझे बेहतर वाक्यांश विशिष्ट प्रश्न उत्तर नहीं दिया गया पर मेरे भविष्य लुकअप मदद की।

और यह एक नहीं है काफी एक 100% खोजक है, यह मौजूदा अपने मौजूदा कोड में समस्या पर "आप प्रकाश दिखाने" होगा, लेकिन webstandards साथ की तरह, एक बार आप इस परीक्षा उत्तीर्ण कोडिंग रोक न।

04/08/2008 को 16:43
का स्रोत उपयोगकर्ता

वोट
5

एक सामान्य उपकरण के साथ समस्या यह है कि यह बहुत मुश्किल है नियम है कि केवल एक वास्तविक हमले के खिलाफ की पूर्ति करेंगे, का एक सेट के साथ आने के लिए है।

एसक्यूएल कीवर्ड सभी अंग्रेजी शब्दों रहे हैं, और भूल नहीं है कि स्ट्रिंग

 DROP TABLE users;

एक फार्म क्षेत्र है कि, उदाहरण के लिए, एक प्रोग्रामिंग प्रश्न का उत्तर होता है में पूरी तरह से वैध है।

केवल समझदार विकल्प कभी भी अपने डेटाबेस के लिए इसे पारित करने से पहले इनपुट स्वच्छ, लेकिन उस पर फिर भी पारित करने के लिए है। अन्यथा पूरी तरह से सामान्य, गैर दुर्भावनापूर्ण उपयोगकर्ताओं के बहुत सारे अपनी साइट से प्रतिबंधित करने के लिए जा रहे हैं।

04/08/2008 को 16:11
का स्रोत उपयोगकर्ता

वोट
3

ओरेकल एक मिल गया है SQL इंजेक्शन के बारे में ऑनलाइन ट्यूटोरियल । भले ही आप एक पहले से तैयार समाधान चाहते हैं, यह आप कैसे बेहतर उपयोग करने के लिए अपने आप को बचाव करने के लिए पर कुछ संकेत दे सकता है।

05/08/2008 को 18:38
का स्रोत उपयोगकर्ता

वोट
3

एक छोटी बात को ध्यान में रखना: कुछ देशों में (यानी यूरोप के अधिकांश), लोगों को स्थिर IP पते की जरूरत नहीं है, तो काली सूची में डालने हमेशा के लिए नहीं किया जाना चाहिए।

04/08/2008 को 16:22
का स्रोत उपयोगकर्ता

वोट
3

एक तरीका यह भी है कि कुछ मामलों के लिए काम कर सकते हैं एसक्यूएल स्ट्रिंग है कि यदि आप भोलेपन से प्रपत्र डेटा का उपयोग किया और उसने इसे कुछ कोड है कि बयान है कि वास्तव में निष्पादित किया जाएगा की संख्या की गणना के पास चला जाएगा लेने के लिए होगा। यदि यह अधिक से अधिक संख्या में अपेक्षा से अधिक है, तो एक सभ्य संभावना है कि एक इंजेक्शन प्रयास किया गया था, विशेष रूप से क्षेत्रों है कि इस तरह उपयोगकर्ता नाम के रूप नियंत्रण वर्ण शामिल करने के लिए की संभावना नहीं है के लिए है।

एक सामान्य पाठ बॉक्स की तरह कुछ थोड़ा मुश्किल हो सकता है के बाद से इस पद्धति का एक बहुत अधिक गलत परिणामों की वापसी की संभावना होगी, लेकिन यह कम से कम एक शुरुआत हो सकता है,।

04/08/2008 को 16:20
का स्रोत उपयोगकर्ता

वोट
0

दिलचस्प है कि कैसे इस गूगल द्वारा साल बाद लागू किया जा रहा है और उन्हें आदेश XSS हमलों और अन्य दुर्भावनापूर्ण acitivites को रोकने के लिए URL हटाने से सब एक साथ

24/07/2014 को 06:18
का स्रोत उपयोगकर्ता

वोट
0

मेरे साइटों में से एक हाल ही में SQL इंजेक्शन के माध्यम से काट दिया गया था। यह DB में हर पाठ क्षेत्र के लिए एक वायरस के लिए लिंक जोड़ी! ठीक कुछ कोड एसक्यूएल खोजशब्दों की तलाश में जोड़ने के लिए किया गया था। सौभाग्य से, मैं, ColdFiusion में विकसित इतना कोड मेरी Application.cfm फ़ाइल है जो हर वेबपेज की शुरुआत और यह सब URL वेरिएबल पर लग रहा है पर चलाया जाता है में बैठता है। विकिपीडिया कुछ अच्छे लिंक भी मदद करने के लिए है।

16/09/2008 को 15:04
का स्रोत उपयोगकर्ता

वोट
0

अब मैं इसे, स्पैम ब्लॉक करने के लिए शालीनता से भी काम कर सकते हैं प्रयोग से काफी समान एक बायेसियन फिल्टर के बारे में लगता है कि। यदि आप एक साथ प्रत्येक क्षेत्र के लिए सामान्य पाठ और एसक्यूएल इंजेक्शन का एक सेट का एक सेट है, आप झंडा इंजेक्शन हमलों के लिए ट्रेन के लिए सक्षम हो सकता है।

04/08/2008 को 16:26
का स्रोत उपयोगकर्ता

Cookies help us deliver our services. By using our services, you agree to our use of cookies. Learn more