Tôi làm cách nào để kiểm tra trang web của mình cho các cuộc tấn công SQL injection?

Question

Có công cụ tự động nào?

Answer 1

sqlmap: một công cụ SQL injection

sqlmap là một SQL injection tự động công cụ phát triển bằng Python. Mục tiêu của nó là để phát hiện và tận dụng lợi thế của lỗ hổng SQL tiêm trên web ứng dụng. Khi nó phát hiện một hoặc tiêm SQL thêm về host mục tiêu , người dùng có thể lựa chọn trong số rất nhiều các tùy chọn để thực hiện một quản lý cơ sở dữ liệu hệ thống vân tay rộng back-end, lấy DBMS sử dụng phiên và cơ sở dữ liệu, liệt kê người dùng , băm mật khẩu, đặc quyền, cơ sở dữ liệu , đổ toàn bộ hoặc bảng/cột DBMS cụ thể, chạy câu lệnh SQL SELECT riêng của mình, đọc các tệp cụ thể trên hệ thống tệp và nhiều hơn nữa.

http://sqlmap.org

Answer 2

Dưới đây là một, không liên kết kể từ khi có lý do chính đáng để nghi ngờ nó có chứa phần mềm độc hại ...

http://www.darknet.org.uk/2008/09/bsql-hacker-automated-sql-injection-framework/ 

Bạn cũng có thể tìm thấy một ứng dụng Kiddy kịch bản và mục tiêu nó ở trang web của bạn, họ thích sử dụng SQL injection.

Nhưng thay vì làm tất cả những điều đó, việc sử dụng thư viện có ngăn chặn SQL injection trở nên đơn giản và dễ dàng hơn không?

Answer 3

Công cụ tự động hóa thương mại là Scan Alert từ McAfee. Họ làm cho trang web của bạn hàng ngày và báo cáo bất kỳ lỗ hổng nào - không chỉ SQL injection, mà còn những thứ như các cổng không nên mở hoặc các phiên bản phần mềm không an toàn đang chạy trên máy chủ.

Answer 4

Làm cách nào đơn giản tránh việc sử dụng các kỹ thuật cho phép SQL injection xâm nhập ngay từ đầu?
Nếu bạn sử dụng báo cáo được chuẩn bị thay vì SQL động, bạn là vàng - tấn công SQL injection trở thành không thể, và bạn nhận được hiệu suất tốt hơn để khởi động! Không bao giờ sử dụng chuỗi do người dùng cung cấp trong SQL động! Đây là cách duy nhất để được nhất định rằng DB của bạn được an toàn khỏi các cuộc tấn công tiêm. Ngay cả các công cụ tự động có điểm mù - chúng được tạo ra bởi con người sau khi tất cả ...

tài nguyên hữu ích: Oracle Tutorial on Defending against SQL Injection Attacks

Answer 5

Công cụ findbugs có một số hỗ trợ cho việc phát hiện các cuộc tấn công SQL injection tiềm năng trong mã Java, sử dụng phân tích tĩnh. Về cơ bản nó sẽ tìm kiếm các trường hợp các tham số đầu vào được sử dụng để xây dựng các truy vấn SQL hơn là được sử dụng như các tham số câu lệnh đã chuẩn bị.

Answer 6

Có một số plugin cho Firefox: HackBar, SQL Injection 1.2

Answer 7

Security Compass

Tôi đã không thực sự sử dụng trình duyệt Firefox của họ plug-in, nhưng một trong số họ có nghĩa là để tìm các vấn đề SQL injection.

Answer 8

WebCruiser - Trình quét lỗ hổng trên web, không chỉ là công cụ quét bảo mật web mà còn là công cụ tiêm SQL tự động, công cụ tiêm XPath và công cụ cross-site scripting!

Answer 9

Chúng tôi có nhiều hơn chỉ là BSQL :) Kiểm tra xem chúng ra đây -

http://www.darknet.org.uk/tag/sql-injection-tool/