Web Security PRO · Bezpłatna karta pracy

Twój pierwszy test SQL injection

Jedno laboratorium, pięć pytań. Przejdź pełne demo UNION SQL injection i połącz to, co widzisz w aplikacji, z żądaniem HTTP oraz zapytaniem do bazy.

Pracuj wyłącznie w przygotowanym demo. To karta do ćwiczenia, nie upoważnienie do testowania obcych aplikacji ani pełna metodyka pentestu.

1. Co powinno działać?

   Otwórz zwykły produkt. Znajdź parametr id w żądaniu HTTP, odpowiadający mu warunek w zapytaniu SQL oraz nazwę i cenę produktu na stronie.

   Zapisz: skąd pochodzi wartość parametru, jakie dwie kolumny wybiera zapytanie i czego oczekujesz w odpowiedzi.

2. Kiedy dane zmieniają zapytanie?

   Przejdź z tutorem przez próby ORDER BY i UNION SELECT. Porównaj próbę z niewłaściwą liczbą kolumn z pasującym zapytaniem. W tym ćwiczeniu kod skleja wejście użytkownika z instrukcją SQL.

   Zapisz: zmieniony fragment wejścia, spodziewany wynik i to, czego dowodzi błąd albo poprawne wykonanie. Sam brak błędu nie oznacza jeszcze ujawnienia danych.

3. Czy dane naprawdę opuszczają bazę przez aplikację?

   Porównaj wynik w konsoli SQL z treścią odpowiedzi HTTP i stroną produktu. Ten model strony wyświetla jeden wiersz. Sprawdź różnicę między identyfikatorem istniejącego produktu a niepasującym id, a następnie prześledź kolejne wiersze zgodnie z lekcją.

   Zapisz: jakie dane pojawiły się w odpowiedzi aplikacji. Konsola SQL jest dodatkowym wglądem do nauki, nie dowodem, że atakujący ma bezpośredni dostęp do bazy. Nie utożsamiaj jednego widocznego wiersza z ujawnieniem całej tabeli.

4. Czy naprawa usuwa przyczynę?

   W wariancie zabezpieczonym ponów próbę UNION. Następnie odczytaj zwykły produkt. Parametryzacja ma traktować wejście jako wartość, a nie dodatkową instrukcję SQL.

   Zapisz: wynik próby ataku i poprawnego odczytu. Brak ujawnionych danych nie wystarcza, jeśli poprawka zepsuła również zwykłe działanie sklepu.

5. Czy potrafisz przewidzieć własny wariant?

   W Sandbox wybierz jeden z 18 wariantów. Przewidź rezultat, wykonaj próbę i porównaj wynik. W konsoli SQL sprawdź też własne poprawne zapytanie do przygotowanych tabel. Gdy wynik zaskakuje, wróć do wejścia, zapytania i sposobu wyświetlania danych.

   Uzupełnij: „Zmieniłem …, aplikacja zbudowała …, w odpowiedzi zobaczyłem … . To potwierdza …, ale nie dowodzi …”.

Jedno ćwiczenie to początek

Web Security PRO rozwija ten sposób analizy w 132 laboratoriach: kontrola dostępu, sesje, SQL injection, XSS i inne klasy podatności. Pierwsza edycja obejmuje warsztat techniczny, bez dodatkowych modułów prowadzenia całego zlecenia.

Powiadom mnie o pierwszej edycji

Karta i demo są bezpłatne, dostępne bez podania adresu. Zapis służy otrzymaniu informacji o starcie i ofercie kursu.