क्या आपके पास कोई SQL इंजेक्शन परीक्षण "Ammo" है?

Question

एसक्यूएल इंजेक्शन और एक्सएसएस के बारे में पढ़ते समय मैं सोच रहा था कि क्या आपके पास एक सिंगल स्ट्रिंग है जिसका उपयोग उन भेद्यताओं और अन्य लोगों की पहचान के लिए किया जा सकता है।

एक स्ट्रिंग जिसे ब्लैक बॉक्स में वेबसाइट डेटाबेस में फेंक दिया जा सकता है चेक करें कि वह फ़ील्ड सुरक्षित है या नहीं। (कुछ इनहाउस टूल्स पर एक बड़ा परीक्षण करने जा रहा है)

असहज उदाहरण, यह सोचकर कि क्या आप लोगों को और अधिक पता है?

"एक 'या' 1 '=' 1"

"केंद्र '> < script> चेतावनी (' परीक्षण ') </script>"

संपादित करें: अतः

पर मिला एक अच्छा XSS question

Answer 1

मुझे कुछ अच्छा फ़ायरफ़ॉक्स एडॉन्स मिल गया है जो चाल करते हैं।

XSS Me

SQL Inject Me

Answer 2

http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/

सबसे डीबीएस के लिए संस्करणों, हेक्स चाल है कि मानक से बचने बाईपास सहित शामिल है।

Answer 3

उदाहरण के लिए OWASP साइट देखें।

Answer 4

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet में एसक्यूएल इंजेक्शन का परीक्षण करने के लिए कई उदाहरण हैं।

Answer 5

ईमानदारी से कुछ उपकरण हैं जो SQL इंजेक्शन के लिए बहुत अच्छे परीक्षण हैं, लेकिन ईमानदारी से वे मैन्युअल परीक्षण और कोड समीक्षा को पूरी तरह से प्रतिस्थापित नहीं करते हैं।

अपने उदाहरण का उपयोग करने के लिए ऐसी स्थितियां हैं जहां "या (1 = 1)" काम नहीं करता है लेकिन "या/**/(1 = 1); -" करता है।

कभी-कभी कुछ तारों को ट्वीक करने से चरित्र एन्कोडिंग और सामान्य रचनात्मकता जैसी चीजों के आधार पर अलग-अलग परिणाम मिलेंगे। यह भी उल्लेख करता है कि कभी-कभी आप अपने वेब एप्लिकेशन में तीसरे पक्ष के औजारों से भी सुरक्षित नहीं हैं। लोगों की रचनात्मकता को कभी कम मत समझें, खासकर अगर आपके पास सार्वजनिक वेबसाइट है।

यह एक बहुत अच्छा cheatsheet है।

मेरा परीक्षण करने के लिए मैं Paros का उपयोग करता हूं, इसमें एक दिलचस्प वेबसाइट स्कैनिंग टूल है जिसे आप कुछ समस्याएं भी पा सकते हैं।

यह प्रश्न इस SQL Injection कार्टून को दोहराने का भालू देता है।