Интернетмагазин

 
117
ввода. Типичными примерами являются "or "1"="1 и " or "a"="a, которые об-
манывают SQL-код, работающий в серверной части. По сути, вышеописанные 
сценарии дополняют ожидаемый запрос корректным условием. Если это было 
в поле входа в систему, в серверной части, разработчики написали бы SQL- 
и PHP-код, чтобы проверить, соответствуют ли значения, введенные пользова-
телем в поля 
Имя пользователя и Пароль, значениям в базе данных. Вместо 
этого дополнение 'or '1'='1 предлагает SQL либо завершить сравнение, либо 
проверить, равны ли между собой единицы. Хакер может добавить еще более 
вредоносный код с помощью таких команд, как select или drop. Это может при-
вести к тому, что база данных выдаст свое содержимое или, соответственно, 
удалит таблицы.
Межсайтовый скриптинг 
Эта атака напоминает SQL-внедрение, но ее жертвы используют код, напи-
санный на JavaScript. В отличие от SQL-инъекций, атака осуществляется в веб-
интерфейсе и выполняется динамически. В ходе этой атаки эксплуатируются 
поля для ввода на сайте, если они не очищены. Межсайтовый скриптинг ис-
пользуется хакерами для кражи куков и сессий, а также для отображения окон 
с предупреждениями. Существуют различные способы выполнения межсайто-
вого скриптинга: хранимый XSS, отраженный XSS и DOM-модели.
Хранимый XSS – это разновидность межсайтового скриптинга, при которой 
хакер хочет сохранить вредоносный XSS-скрипт в HTML-коде страницы или 
в базе данных. Затем он выполняется, когда пользователь загружает уязвимую 
страницу. На форуме хакер может зарегистрировать аккаунт с вредоносным 
кодом JavaScript.
Этот код хранится в базе данных, но когда пользователь загружает страницу 
участников форума, XSS будет выполняться. Другие типы межсайтового скрип-
тинга легко распознаются новыми версиями браузеров, поэтому они уже ста-
ли неэффективными. Другие примеры XSS-атак можно посмотреть на сайте