SQL-инъекция. Оборона и нападение (часть 1)

[@11Gute]

Вы отлично сыграли, Федор был в неповторимом шоке.

[@SQLDeveloperBI]

Отличный урок! Фёдор очень убедительно пугался! :)

[@relativemodder]

Хаха

[@Tapok-u8w]

Хаххаха

[@lisadreamer2375]

osobenno dlya nachinauwix razrabotchikov ochen polezno. spasibo! jdu prodoljeniya! glavnoe ved' smisl ponyat kak dumaut nedobrosovestnue polzovateli.

[@fishday53]

Федор так натурально пугается успехов Сергея! ;)

[@intruder70]

🤣🤣🤣

[@oreststadnik3159]

Сделайте пожалуйста урок о том как создавать и отслеживать log для выявления атак и любых неправомерных действий. Спасибо!

[@SpownJkeee]

Знаете, я сейчас перебываю в еще большем шоке, с того как Федор удивляется У меня прям слов нет и заметьте, я не использовал никаких инструментов

[@ДмитрийПронин-ъ8ю]

очень интересный тандем получился....

[@binartv13]

Подписочка! Очень важно знать как взломать и как защитить! Спасибо, очень было интересно и познавательно, не хотелось бы обращаться к третьим лицам на проверку безопасности своего сайта.

[@vitaliy6276]

Научился дыры искать?

[@___-cb9eh]

побольше бы таких людей))

[@daanl88l]

Электропочта... с какой подстанции писать? 10 кВ, 110 кВ, 220 кВ?

[@Rk-vh6mf]

22:15 SET @U = Xakep А проход на сайт был осуществлен под именем xaker

[@ВадимПетин-с9ы]

Этот пользователь никакого значения не имеет, вся суть в выполнении того что после логина. А если на 26:40 промотаешь - в базе в принципе нет таких пользователей, ни Xaker ни Xakep

[@letsplay613]

Лол , „ Пишите на электропочту “ )))

[@demozeros]

Ваууу !!!! Спасибо большое за урок !!!!!

[@СережаВ-т7б]

Хорошо объяснили, спасибо!

[@ТомасКакакивич]

Лучший способ защититься, не создавать БД!

[@MrLepdanoz]

' = это апостроф, " = это кавычка, "" = это двойная кавычка(то есть две кавычки подряд). пользуйтесь пожалуйста правильно терминологией, сложно понимать что за "пунктуацию" вы там по натыкали.

[@saneklarek5298]

У тебя на клавиатуре не существует такого символа как "апостроф",потому что для компьютера это кавычка.

[@ilnur09011973]

На сколько мне известно вот апостроф ` а это ' все таки кавычка одинарная если на то пошло.

[@MrLepdanoz]

илнур абляев этот знак называет "гравис" и в отличии от знаков пунктуации, является диакритическим. зы ох уж эту виндусятники обученные на гранды мелкомягких!. на любом уроке\курсе линукс первое чему вас учат это использовать правильную терминологию. зыы воспользуйся вики по фразе: "Диакритические знаки", "Пунктуация"

[@zagranichnaja_zhizn]

купите пожалуйста учебник русского языка, а то сложно понимать, что вы имеете в виду, когда вы не пользуетесь пунктуацией и отрываете предлоги от слов.

[@IlyaZherebtsov]

49:36 а в данном случае все равно надо в кавычках вводить числа?

[@vitaliy6276]

Обьясните пожалуйста как искать дыры для qsl инъекций уже который год понять не могу как это делается

[@5hits578]

Не быть мне хакером даже не смог взломать свою БД :) Хотя делал как на видео!

[@vitaliy6276]

Уже научился дыры искать?

[@АлександрКотельников-ь2д]

Спасибо большое за информацию, скажите пожалуйста сколько стоит короткий курс, спасибо

[@ronny7836]

xaker' or 1=1; - - Фикситься просто через html, достаточно добавить у каждого поля required и сделать валидацию у почты (символ @ и минимум 6 символов ) и поставить тип "email " и никакие "",'` не помогут

[@q1ncite]

а я зайду в html и уберу твои параметры, делай в php всё.

[@ronny7836]

@@q1ncite я же написал, что нужно делать валидацию @ и минимум 6 символов. Это на php

[@q1ncite]

@@ronny7836 Ты упомянул только HTML, и каждый поймёт что ты имеешь ввиду input type='email', а не PHP

[@vitaliidrapaliuk5652]

Спасибо)

[@томас-д3й]

а где продолжение (часть 2)???

[@jcdenton4813]

в 7tor.org есть за запросом "sql Клевогин" например

[@nicovertrano5156]

детский сад, 2я группа...могли бы хоть что-нибудь забористое показать

[@ryletik]

согласен, хотя бы то, что хранить пароли в открытом виде в БД...

[@модернкомбат-н6г]

Если сделать всех поле невоспримчивым на любой знак.. кроме цифр и букв. Тогда прощяй скюл))

[@ololondiyololoev]

Этот неловкий момент, когда ты ограничиваешь длину параметра 10ю символами, и ни одна команда в неё тупо не вместится.

[@bb-mangamanga4063]

ну решение так не очень то, лучше использовать проверку на символы, тупо сделать на "；" и то лучше будет

[@inf0rd380]

писец 7 лет назад а я это смотрю кста кто может ответить как можно по другому подобрать логин и пароль или войти под другим (чисто пытаюсь понять как сделать что бы работало либо понять как от этого защищяються ну и обойти эту защиту)

[@vitaliy6276]

@@Obi-WanKenobi-ic4ll где взять заготовки запросов?

[@merdanchee]

mysqli_real_escape_string($db, $_POST['username]); вот решение: убирает всякие скобочки и так далее

[@ghostcod23]

Кавычку забыл поставить

[@vitaliy6276]

Как дыры искать на сайте можете сказать если не сложно?

[@q1ncite]

уязвимо

[@mehanik1717]

спосибо

[@MrPyranya]

Из инъекций я только умею делать ВВ.

[@vitaliy6276]

Обьясни как дыры искать sql если не сложно пожалуйста

[@leffkinson4127]

За 5 лет люди потупели или что….?

[@adrianmelnic2304]

откуда хакер знает название базы данных 26:17 ???? обясните

[@q1s4]

adrian melnic , зачем знать название БД?

[@q1ncite]

database() пиши и всё

[@Kykylikin]

На сегодняшний день весь видеоматериал актуален?

[@Gusus]

Да но сейчас сайтов с такими уязвимостями намного меньше

[@Veyron104]

ну по идее слабое место составление и исполнение запроса, приложение то как раз таки может без проблем составлять запросы, а корректно разобрать этот запрос это и есть проблема

[@bardakan]

а зачем на полную громкость врубать кулер или че у вас там гудит?

[@SpecialistTV]

Это не баг, это фича. :)

[@tmdan91]

В 2017 уже не актуально давно все используют предзапросы. Так что урок так себе

[@SpecialistTV]

Урок был записан в 2014 году :)

[@wickedtorpedo75]

@@SpecialistTV а что в 2014 можно было таким образом ломать некоторые сайты?

[@q1ncite]

@@wickedtorpedo75 они до сих пор такие есть, а в 14 году я вообще молчу, в том же ВК 100% где то лежал

[@Nerpa66]

Интересно , но ничего не понял. Чей сервер , откуда берется информация?

[@martashummer8995]

--tamper

[@ДмитрийФролов-к2г]

Театральная постановка?

[@eternal_wanderer_ru]

Больше похоже на то, что сайт специально написан криво для уроков. По идее все пароли необратимо хешируют, а выводят на странице по имени поля. Плюс 80% рассмотренных уязвимостей относятся к самой windows а не к sql

[@apisst]

уже наверное и самый профессиональный способ, показанный в видео, перестал таковым быть))

[@---nh1ib]

Видео хорошее, но уж слишком много подробностей рассматриваете. Я думаю нубы в программировании без должного опыта точно интересоваться sql инъекциями не будут, но это моё имхо)

[@bb-mangamanga4063]

как раз на оборот, чтобы взламывать сайты своих школо- друзей, которые элементарно проверку данных не делают

[@klavesin]

И ещё опускают некоторые моменты, которые им очевидны, например вместо одной одиночной кавычки ставят две, не объясняя почему.

[@ВячеславНепохеловский]

2014 год у типов сервера на ХП

[@VladimirPrisyazhnyuk]

Вячеслав Непохеловский сервера на Windows Server 2008 R2, а вот поддержка xp_cmdshell явно была включен умышленно для демонстрации. Отключается она так же просто: EXEC sp_configure 'show advanced options', 1 GO RECONFIGURE GO EXEC sp_configure 'xp_cmdshell', 0 GO RECONFIGURE

[@YamomotoSC2TV]

я попробовал, нифига не получается, это всё шляпа какакято (((

[@НиколайКудряшов-й5с]

Потому что это и есть шляпа они просто для демонстрации показали)

[@gamblgabrielle6642]

На ошибках учатся

[@limitless8079]

Почему скучно смотреть-то? HTML не так уж и скучен :)

[@СергейМесмер]

ерунда, могу дать ссыль на реальный гайд со взломом реального сайта, с нормальной защитой, не так это делается, а вообще говоря тут нужен творческий подход и немного понимания что и как работает, учить весь sql не надо точно, он нужен для созидания, для взлома нужна смекалка, но если ты совсем далек, то ловить нечего, учи основы программирования, именно основы , а ни языки, а вот для первого языка рекомендую си , сам много шишок набил когда начал с пхп, я просто такой человек что мне нужно понимать что происходит и как это работает, а не просто наборы команд заучивать

[@МакеГрозный]

можешь дать ссылку спасибо большое

[@СергейМесмер]

@@МакеГрозный Вот тут посмотри kzbin.info/www/bejne/fHPTeXaGfLWoaZI&ab_channel=VDR

[@xxvg2544]

😂😂😂😂😂

[@AlexPebodyGM]

Хороший обзор, но IIS бя.......... Ж-(

[@СветланаФедорова-к5ю]

А вы в курсе, что у даже у средних интернет проектов есть ограничение на количество знаков в логине, гавносайты учите ломать, а какой с этого толк? Покажите, что нибудь сильное и не на своем серваке! Зачем безопасность тем у кого ничего нет. Первым пунктом, в вашей стратегии защиты (Ха-Ха), нужно писать ограничьте количество знаков в логине.

[@geghamayvazyan8841]

pdo :D :D

[@xoooker]

Лайк, если попробовал SQL-инъекцию на поисковой строке KZbin.

[@wickedtorpedo75]

Ты бы ещё попробовал захватить весь мир с одним топором на руке

[@jeysonlee4710]

электро-почта))))это что то)))))вы ребята смотритесь-как если бы тракторист уволился и пошел работать библиотекарем))))) ну или русские балалаичники играют блюз)))) еле сдерживаюсь от смеха..................))))) уважаемый Крис Касперски не зря уехал в США от таких учителей подальше )))))

[@SpecialistTV]

Спасибо за ваш комментарий. Нам приятно, что вы внимательно слушали видео. Надеемся оно было для вас полезным. Что же касается термина "электропочта", то он был введен еще Артемием Лебедевым, изначально содержал в себе сарказм, а потому здесь употребляется как шутка.

[@dark_elite5202]

Хммм а ютуб можно взломать так