6- laboratoriya ishi sql ineksiya Ishdan maqsad

sqlinj/index1.php?user=hacker'%20--%20 blablabla

4. UNION buyrug‘idan foydalanish orqali maydonlar sonini bilish mumkin.

sqlinj/index1.php?id=1 UNION SELECT 1,2

xatolik

sqlinj/index1.php?id=1 UNION SELECT 1,2,3

xatolik yuq demak ustunlar soni 3 ga teng.

5. GROUP BY dan foydalangan holda ustunlar sonini aniqlash.

sqlinj/index1.php?id=1 GROUP BY 2

Amaliy qism

1. 
   Mantiqiy “ko‘r” ineksiyani yaratish. Buning uchun Owaspweb Goat simulyatoridan foydalaniladi.
   

Dastlab siqilgan faylni oching

–Run webgoat.bat (or webgoat_8080.bat)

–http://localhost/WebGoat/attack

–Id = guest

–pw = guest

Vazifa

// first_name kattalining uzunligi 6 ga teng

// birinchi harfi ‘J’ ga teng

101 and ((select ascii(substr(first_name,1,1)) from user_data where userid = 15613) >= 74) and ((select ascii(substr(first_name,1,1)) from user_data where userid = 15613) <= 74)

YUqoridagi so‘rovdan foydalanib, 15613 raqamli foydalanuvchini first_name ni toping.

2. 
   Qatorli SQL ineksiya. Bu vazifa uchun ham Owaspweb Goat simulyatoriidan foydalaniladi.
   

• 
  Fayl ochiladi
  

–Run webgoat.bat (or webgoat_8080.bat)

–http://localhost/WebGoat/attack

–Id = guest

–pw = guest

• 
  “Tamper Data” plagini Mozilla Firefox uchun o‘rnatiladi va “Tools” menyusi orqali sinab ko‘riladi.
  
• 
  SHundan so‘ng “Injection flaws””Lab: SQL injection””Stage 1:String SQL Injection” tanlanadi.
  
• 
  Bu sahifadan vazani aniqlang va Mozilla Firefox ning “Tools” menyusidan “Tamper Data” bandini tanlab “Start Tamper”tugmasini bosing.
  
• 
  webgoat muhitidan “Neville Bartholomew (admin)” login sifatida tanlab, parol bandigi ochiq qoldirib Login tugmasini bosing. Quyidagi oyna ko‘rinadi.
  

6.1 – rasm. Tamper Data oynasi

• 
  Bu oynadan siz parol sohasi bo‘shligini ko‘rishingiz mumkin va bu erda SQL ineksiyaga olib keluvchi kodni kiriting.
  
• 
  Tahdidni amalga oshirish orqali ('Neville') qayd yozuviga to‘g‘ri parolni bilmasdan kirib ko‘ring.
  
• 
  Foydalangan SQL – so‘rovni hisobotga qayd eting.
  
• 
  Topshiriq
  
• 
  Hozirgi mavjud SQL in’eksiya xujumlaridan birini qo‘llab undan ximoyalashni ko‘rsatish va nazorat savollariga javob yozish.
  

Nazorat savollari

1. 
   SQL ineksiya nima va uning turlari.
   
2. 
   Qanday qilib bu tahdiddan himoyalanish mumkin.
   
3. 
   Bu turdagi tahddilar jiddiymi.