How to use SQL inecjtion Very easy Method simply use & Attacks | कैसे एसक्यूएल inecjtion उपयोग करने के लिए बहुत आसान तरीका बस उपयोग करें

SQL inecjtion inecjtion उपयोग करने के लिए बहुत आसान तरीका बस उपयोग करें | How to use SQL inecjtion Very easy Method simply use & Attacks

SQL inecjtion एसक्यूएल कमांडों का एक सेट है जो यूआरएल स्ट्रिंग में या डेटा स्ट्रक्चर्स में रखे जाते हैं ताकि वेब अनुप्रयोगों से जुड़ी डेटाबेस से एक प्रतिक्रिया प्राप्त हो सके। ऐसे हमले आमतौर पर PHP या एएसपी.नेट का उपयोग कर विकसित किए गए वेबपेजों पर होते हैं।
एक SQL inecjtion हमले निम्नलिखित इरादों के साथ किया जा सकता है:
• एक सिस्टम के संपूर्ण डाटाबेस को डंप करने के लिए,
• डेटाबेस की सामग्री को संशोधित करने के लिए, या
• अलग-अलग पूछताछ करने के लिए जो आवेदन द्वारा अनुमत नहीं हैं

इस तरह के हमले का काम तब होता है जब अनुप्रयोगों को एक एसक्यूएल कथन में पास करने से पहले ठीक से इनपुट को मान्य नहीं किया जाता है। इंजेक्शन आमतौर पर पता बार, खोज फ़ील्ड या डेटा फ़ील्ड में डाली जाती है।
एक SQL inecjtion के हमले के लिए एक वेब अनुप्रयोग संवेदनशील है या नहीं यह पता लगाने का सबसे आसान तरीका है कि स्ट्रिंग में "'' 'वर्ण का उपयोग करें और देखें कि क्या आपको कोई त्रुटि मिलती है।

उदाहरण 1

कुछ उदाहरणों का उपयोग करते हुए इस अवधारणा को समझने की कोशिश करते हैं। जैसा कि निम्नलिखित स्क्रीनशॉट में दिखाया गया है, हमने नाम क्षेत्र में एक '' '' वर्ण का उपयोग किया है।

स्क्रीनशॉट 1

अब, लॉगिन बटन पर क्लिक करें। इसे निम्नलिखित प्रतिक्रिया का निर्माण करना चाहिए:

स्क्रीनशॉट 2      


इसका मतलब है कि "नाम" फ़ील्ड SQL inecjtion के लिए कमजोर है।

उदाहरण 2

हमारे पास यह यूआरएल है: http:/10/10.10.101/मुटीिलिडे / इंडैक.एफ़पी? पेज = साइट-फुटर- xss-

discussion.php
और हम चर "पृष्ठ" का परीक्षण करना चाहते हैं, लेकिन देखें कि हमने स्ट्रिंग यूआरएल में एक "'' 'वर्ण डाला है।
स्क्रीनशॉट

जब हम एंटर दबाते हैं, तो यह निम्न परिणाम देगा जो त्रुटियों के साथ है।

स्क्रीनशॉट        

sqlmap

SQL inecjtion का पता लगाने के लिए एसक्यूएलएमएप सबसे अच्छा उपकरण है। इसे डाउनलोड किया जा सकता है
http://sqlmap.org/ से
यह काली वितरण में पहले से संकलित होता है आप इसे यहां देख सकते हैं: अनुप्रयोग -> डेटाबेस आकलन -> एसक्यूएलएमएपी
एसक्यूएलएमएपी खोलने के बाद, हम पृष्ठ पर जाते हैं कि हमारे पास SQL inecjtion है और उसके बाद हेडर अनुरोध मिलता है। शीर्ष लेख से, हम एसक्यूएल में निम्नलिखित कमांड चलाते हैं: कोडिंग

./sqlmap.py --headers="User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux i686; rv:25.0) Gecko/20100101 Firefox/25.0" --cookie="security=low; 

PHPSESSID=oikbs8qcic2omf5gnd09kihsm7" -u

'http://localhost/dvwa/vulnerabilities/sqli_blind/?id=1&Submit=Submit#' --

level=5 risk=3 -p id --suffix="-BR" -v3

SQLMAP सभी चर का परीक्षण करेगा और परिणाम दिखाएगा कि पैरामीटर "आईडी" कमजोर है, जैसा कि निम्न स्क्रीनशॉट में दिखाया गया है।

स्क्रीनशॉट     


SQLNinja

SQLNinja एक और SQL inecjtion उपकरण है जो काले वितरण में उपलब्ध है।

स्क्रीनशॉट     
JSQL इंजेक्शन
JSQL इंजेक्शन जावा में है और यह स्वत: SQL inecjtion बनाती है।

स्क्रीनशॉट     


त्वरित सुझाव
SQL inecjtion के हमलों से अपने वेब अनुप्रयोग को रोकने के लिए, आपको निम्नलिखित बिंदुओं को ध्यान में रखना चाहिए:
• अनचेक किए गए उपयोगकर्ता-इनपुट को डेटाबेस से पारित करने की अनुमति नहीं दी जानी चाहिए
 आवेदन जीयूआई

• आवेदन में पास होने वाले प्रत्येक चर को साफ और मान्य होना चाहिए। • उपयोगकर्ता इनपुट को उद्धृत किया जाना चाहिए जो कि डेटाबेस में दिया गया है।