ЗАСЕДАНИЕ инъекции в PHP

Question

Я разработал 4 сайта агентства новостей с моей личной CMS.

сейчас, у меня есть проблема, кто-то может удалить мои новости и некоторые другие записи в базе данных, я

уверен, что его не sql инъекции, из-за мое имя таблицы и моего префикс длинной имени таблицы.

В любом случае, возможно ли, что какое-то тело вводит сеанс и регистрируется на стороне администратора сайта?

Answer 1

Многие методы инъекций не зависят от знания имен ваших таблиц. Помимо того, что это просто безопасность, хотя неизвестности, самый простой является OR 1=1 инъекции трюк, что делает ваш пароль проверить WHERE возвращающие все время (это simplicifcation конечно)

Как вы видите, нет ни одной таблицы -name необходимо. С помощью этого трюка человек может войти в систему как кто угодно, так что это может быть печально известный «кражи сеанса», который вы имеете в виду.

Я считаю, что это легче сделать, чем украсть реальный сеанс PHP, так как для последнего вам, вероятно, нужен доступ к фактическому серверу.Если вы не включаете в себя: кто-то копирует ваш файл cookie и делает вас. Зависит от того, как ваш вход в файл привязан к файлу cookie ->, если система делает новый действительный сеанс из файлов cookie, тогда у вас может быть проблема. Как украсть куки? Ну, клиент может прочитать его собственный файл cookie, поэтому простой XSS (злоумышленник может заставить вас взглянуть на какой-то код) может заставить вас невольно прочитать ваш файл cookie и отправить его где-нибудь.

Bottomline что

• свои причины для этого быть не инъекции являются ложными, и вы действительно должны смотреть, чтобы это.
• Да, сеанс кражи возможен, даже легко в зависимости от того, как вы его определяете.
• Нет, сеанс воровства, по-видимому, не является первой причиной, которую я проверил, но опять же, мы ничего не знали о вашем коде.

Answer 2

Удостоверьтесь, что это не инъекция sql из-за имени моих таблиц и префикса имени моей длинной таблицы.

я бы не особо уверен, что это не по двум причинам:

1. Это угрюмый не по причинам, которые вы даете.
2. Вы уверены, что, хотя известно, что это неправильные приводы к выводам о том, что вы совершили много ошибок, что необычно повышает риск ошибок, которые вы совершили.

Эта комбинация обычно легко открывает код для инъекций SQL. Сравните с:

• How can I prevent SQL injection in PHP?

так как этот материал показывает, что не имеет обычно ничего общего с именами таблиц и длинные таблицы имен префиксов.

В любом случае, возможно ли, что какое-то тело вводит сеанс и регистрируется на стороне администратора сайта?

Да, есть вероятность, что это возможно. Вам необходимо предотвратить фиксацию сеанса и ввод данных сеанса (например, предотвратить несанкционированное использование данных в хранилище файловой системы/сеанса).

Как вы просите, я предлагаю вам связаться с еще одним опытным разработчиком безопасности и позволить ему сделать обзор вашей базы кода. Безопасность - это процесс, и четыре глаза обычно видят больше двух. Также хорошо иметь кого-то, кто не пишет код, чтобы человек не был вовлечен и менее предвзятым, давая обратную связь, имеющую больше видения птиц сверху на все вещи в то время как вы, например, все еще считаете, что имена таблиц будут препятствовать внедрению SQL, в то время как это просто защита от неизвестности.