Ik gebruik altijd PDO / mysqli en prepared statements, waarmee SQL injection onmogelijk is.
Er zouden drie extra antwoorden toegevoegd moeten worden die ervoor zorgen dat het zo dichtbij mogelijk bij de waarheid zou komen: "Met een vooraf vergaarde lijst van verschillende SQL-injection mogelijkheden.", "Automatische tooling." en "Het aanpassen van de payload aan de hand van vergaard informatie en server responses.".
Of gewoon als adres intypen in 2491 AJ in 's-gravenhage. :)
;D
Graag gedaan
Even m'n vrouw vragen. Moppie, hoe test ik op SQL injecties....Wat?
O, heel goed zegt ze.
Okee, niet echt. Ik ga meestal gewoon voor een enkele '.
De gebruikers (analisten) hebben al alle rechten om SQL af te vuren. Maar is het beperkt tot de informatie waar ze mee bezig zouden moeten zijn.
SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Het is nu net daar waar de lekken van user-passwords bekend van zijn geworden. het is de beschrijving bij OWASP
https://www.owasp.org/index.php/SQL_Injection
"Authentication: If poor SQL commands are used to check user names and passwords, it may be possible to connect to a system as another user with no previous knowledge of the password.
Authorization: If authorization information is held in a SQL database, it may be possible to change this information through the successful exploitation of a SQL Injection vulnerability."
In de big data tools is het gangbare vraag om dat via het web beschikbaar te krijgen. Vandaar dat ik ook in die hoek heb moeten duiken wat er nu aan de hand is. Sommige tools worden als alles oplossend via web-interfaces aangeprezen. Ook dan moet je onder die motorkap durven duiken. Nee vrolijk van wat ze daar uitspoken in de doosjes verbinding wordt je niet.
SQL databases zitten normaliter niet in de UI WEB-frontend laag...
Het is nu net daar waar de lekken van user-passwords bekend van zijn geworden. het is de beschrijving bij OWASP
https://www.owasp.org/index.php/SQL_Injection
"Authentication: If poor SQL commands are used to check user names and passwords, it may be possible to connect to a system as another user with no previous knowledge of the password.
Authorization: If authorization information is held in a SQL database, it may be possible to change this information through the successful exploitation of a SQL Injection vulnerability."
In de big data tools is het gangbare vraag om dat via het web beschikbaar te krijgen. Vandaar dat ik ook in die hoek heb moeten duiken wat er nu aan de hand is. Sommige tools worden als alles oplossend via web-interfaces aangeprezen. Ook dan moet je onder die motorkap durven duiken. Nee vrolijk van wat ze daar uitspoken in de doosjes verbinding wordt je niet.
^ "De plank mis slaan" in al z'n glorie.
De beste test is een site maken met login die enkel naar een file logt hem bij je vrienden bekend maken als veilig.Je zal al snel merken dat mensen zullen trachten binnen te komen met informatie die je zelf ter beschikking steld. Dus als je dan een filter toepast ontdek je de persoon die erachter zit door de informatie die deze gebruikt.Dit omdat niet iedereen die je kent alles van je weet.Nu tracht er ook enkele publieke profielen op te plaatsen die lijken op een ander profiel zo merk je sites waar je toch zo geheim wachtwoord hebt op geplaatst eens in je site zullen belanden Na wat tijd en zoekwerk kan je ook deze eruithalen.
En voor af te sluiten ook pictogrammen of foto's zijn gevaarlijk maar dat wist u wel al vermoed ik.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.