1 00:00:00,000 --> 00:00:09,250 2 00:00:09,250 --> 00:00:10,300 >> LUCIANO Arango: OK, guys. 3 00:00:10,300 --> 00:00:11,550 Fy enw i yw Luciano Arango. 4 00:00:11,550 --> 00:00:13,915 Rwy'n sophomore yn Adams House. 5 00:00:13,915 --> 00:00:17,550 Ac rydym yn mynd i fod yn siarad am diogelwch ar y we amddiffyn gweithredol. 6 00:00:17,550 --> 00:00:24,220 Felly, yr wyf yn gweithio ar gyfer y Swyddfa Gwybodaeth Diogeledd yn MOROEDD. 7 00:00:24,220 --> 00:00:28,670 Ac yn ystod yr haf, yr wyf yn interned yn SeguraTec, a oedd yn wybodaeth 8 00:00:28,670 --> 00:00:31,310 cwmni diogelwch oedd yn gwasanaethu i Fanc Columbia. 9 00:00:31,310 --> 00:00:34,740 Dyna yn bennaf lle dysgais hyn yr wyf wedi ei ddysgu hyd yn hyn. 10 00:00:34,740 --> 00:00:37,990 >> Ac felly mae rhai o'r deunydd ein bod ni'n mynd i fynd dros heddiw, nid ydym wedi 11 00:00:37,990 --> 00:00:39,670 siarad am mewn gwirionedd yn y dosbarth. 12 00:00:39,670 --> 00:00:40,410 Ond byddwn yn fuan. 13 00:00:40,410 --> 00:00:42,360 Mae'n mynd i fod fel SQL, JavaScript. 14 00:00:42,360 --> 00:00:44,870 Ac nid ydym wedi mynd mewn gwirionedd drosto. 15 00:00:44,870 --> 00:00:47,730 Felly, efallai y byddaf didoli hedfan drwyddo, a efallai nad ydych yn gwybod am rai pethau. 16 00:00:47,730 --> 00:00:48,890 Ond yn fuan, byddwch yn dysgu. 17 00:00:48,890 --> 00:00:52,080 A bydd y cyfan yn gwneud synnwyr. 18 00:00:52,080 --> 00:00:54,010 Hefyd beth arall - 19 00:00:54,010 --> 00:00:55,780 aros moesegol. 20 00:00:55,780 --> 00:01:00,560 Mae rhai o'r pethau yr ydych yn dysgu, i chi Gallai defnyddio mewn ffyrdd nad ydynt yn moesegol. 21 00:01:00,560 --> 00:01:01,950 >> Os yw'n eiddo i chi, yn bendant roi cynnig arnynt. 22 00:01:01,950 --> 00:01:04,500 Yr wyf yn bendant yn ysgogi chi guys i roi cynnig ar eich gweinyddwyr hun, ceisiwch 23 00:01:04,500 --> 00:01:05,519 mynd y tu mewn iddynt. 24 00:01:05,519 --> 00:01:08,500 Gweler os gallwch eu treiddio, os gallwch gael y tu mewn iddynt. 25 00:01:08,500 --> 00:01:09,560 Ond nid yw unrhyw un arall yn. 26 00:01:09,560 --> 00:01:12,390 Nid yw cops ddim yn hoffi'r jôcs a y cyfan, rydym yn rhoi hyn yma. 27 00:01:12,390 --> 00:01:14,040 Roeddem yn chwarae o gwmpas. 28 00:01:14,040 --> 00:01:15,780 Maent yn cael ddig iawn. 29 00:01:15,780 --> 00:01:18,700 >> Felly, ben ar at y wefan hon. 30 00:01:18,700 --> 00:01:23,560 Yr wyf wedi ei agor yn iawn yma. 31 00:01:23,560 --> 00:01:26,780 Mae hon yn wefan, ac mae'n Mae gan griw o enghreifftiau. 32 00:01:26,780 --> 00:01:30,000 Beth sy'n digwydd yw bod yr enghraifft gyntaf yn fath o yn mynd i fod yn llawer haws 33 00:01:30,000 --> 00:01:33,470 na'r enghraifft olaf mewn ystyr bod yr enghraifft gyntaf 34 00:01:33,470 --> 00:01:34,970 yn gwbl ansicr. 35 00:01:34,970 --> 00:01:40,850 Ac mae'r un olaf yn fath o beth yw Byddai person diogelwch ar y we arferol yn ei wneud. 36 00:01:40,850 --> 00:01:42,760 Ond gallwch dal i fod yn fath o fynd o amgylch hynny. 37 00:01:42,760 --> 00:01:44,860 Ac rydym yn mynd i ganolbwyntio ar un a dau, enghreifftiau o un a dau. 38 00:01:44,860 --> 00:01:49,880 39 00:01:49,880 --> 00:01:49,920 >> OK. 40 00:01:49,920 --> 00:01:52,780 Gadewch i ni ddechrau gyda sgriptio traws-safle. 41 00:01:52,780 --> 00:01:56,100 Mae'r JavaScript yn cael ei redeg ar porwr y cleient. 42 00:01:56,100 --> 00:01:59,980 Mae'n iaith raglennu rydych yn eu defnyddio i redeg ar porwr y cleient er mwyn 43 00:01:59,980 --> 00:02:04,120 Nid oes rhaid i chi ddiweddaru'r wefan a mynd yn ôl at y gweinydd. 44 00:02:04,120 --> 00:02:04,940 Mae'n rhaid i chi yn rhedeg. 45 00:02:04,940 --> 00:02:08,870 Er enghraifft, Facebook, nid oes gennych i ail-lwytho ar y wefan am statws newydd 46 00:02:08,870 --> 00:02:09,710 diweddariadau i ddod i fyny. 47 00:02:09,710 --> 00:02:12,170 Mae'n defnyddio JavaScript i gynhyrchu yr holl bethau hyn. 48 00:02:12,170 --> 00:02:16,290 Felly, gallwn chwistrellu JavaScript maleisus i mewn i'r gwefannau. 49 00:02:16,290 --> 00:02:20,890 Ac y ffordd honno, pan fyddwn yn anfon dolen i rhywun, gallem fath o hanfon gyda'r 50 00:02:20,890 --> 00:02:23,050 rhai o'r cod yr ydym am. 51 00:02:23,050 --> 00:02:26,450 >> Mae cyson a heb fod yn gyson JavaScript - 52 00:02:26,450 --> 00:02:30,640 gyson a heb fod yn gyson ar draws y safle sgriptio, yr wyf yn ei olygu. 53 00:02:30,640 --> 00:02:33,760 A'r gwahaniaeth yw bod parhaus yw JavaScript a fydd yn 54 00:02:33,760 --> 00:02:36,060 arbed ar y wefan. 55 00:02:36,060 --> 00:02:39,780 A bydd nad ydynt yn gyson yn JavaScript a fydd yn digwydd mewn gwirionedd dim ond unwaith. 56 00:02:39,780 --> 00:02:41,795 Felly, gadewch i ni edrych ar enghraifft go gyflym. 57 00:02:41,795 --> 00:02:45,660 58 00:02:45,660 --> 00:02:46,130 >> OK. 59 00:02:46,130 --> 00:02:51,620 Felly y wefan hon, yn syml, dim byd yn digwydd yma. 60 00:02:51,620 --> 00:02:53,070 Ac rydym yn mynd i geisio osod rhywfaint o JavaScript. 61 00:02:53,070 --> 00:02:58,110 Felly, y ffordd yr ydym yn dechrau ysgrifennu JavaScript yw ein dechrau gyda'r dechrau script. 62 00:02:58,110 --> 00:03:00,570 Ac rydym yn cau gyda sgript. 63 00:03:00,570 --> 00:03:03,770 Rydym yn syml, yn mynd i roi neges - 64 00:03:03,770 --> 00:03:05,410 Byddaf yn dangos i chi - 65 00:03:05,410 --> 00:03:06,500 effro. 66 00:03:06,500 --> 00:03:11,150 Rhybudd yn swyddogaeth sy'n JavaScript defnyddio i arddangos rhywbeth. 67 00:03:11,150 --> 00:03:12,400 Felly gadewch i ni roi cynnig arni go gyflym. 68 00:03:12,400 --> 00:03:15,600 69 00:03:15,600 --> 00:03:18,944 Rydw i'n mynd i fynd, helo effro. 70 00:03:18,944 --> 00:03:20,400 Wel, yr wyf yn anghofio i roi - 71 00:03:20,400 --> 00:03:24,510 72 00:03:24,510 --> 00:03:25,460 OK. 73 00:03:25,460 --> 00:03:26,540 Felly dyna syml. 74 00:03:26,540 --> 00:03:28,730 >> Rydym yn rhoi JavaScript ar wefan, a daeth i fyny. 75 00:03:28,730 --> 00:03:31,200 Ac mae'n fath o ond yn digwydd ar ein gwefan, dde? 76 00:03:31,200 --> 00:03:33,040 Felly, mae'n ymddangos fel nad yw'n broblem, dde? 77 00:03:33,040 --> 00:03:34,920 Yr wyf yn golygu, sut y gallech ddefnyddio'r hyn yn faleisus? 78 00:03:34,920 --> 00:03:39,930 Felly, y ffordd y mae hacwyr yn gwneud mae hyn yn syml iawn. 79 00:03:39,930 --> 00:03:40,970 Maent yn mynd i chrafangia '. 80 00:03:40,970 --> 00:03:43,750 Gallant anfon y ddolen hon i chi. 81 00:03:43,750 --> 00:03:46,780 Os byddaf yn anfon y ddolen hon i chi ar hyn o bryd, ac rydych yn agor i fyny, mae'n mynd i 82 00:03:46,780 --> 00:03:51,620 dweud, helo, yn dweud bod fy ngwefan yn dweud wrthych helo. 83 00:03:51,620 --> 00:03:57,280 >> Ac felly pe bawn yn dweud rhywbeth ychydig bach yn fwy craff, os wyf yn tynnu i fyny 84 00:03:57,280 --> 00:03:59,880 JavaScript swyddogaeth yr wyf yn fath o eisoes yn ysgrifennu - 85 00:03:59,880 --> 00:04:03,940 ond os ydych yn edrych arno, byddaf yn mynd drosto cyn i mi ei ysgrifennu. 86 00:04:03,940 --> 00:04:06,650 Felly, rydym yn mynd i osod terfyn amser. 87 00:04:06,650 --> 00:04:08,450 Rydym yn mynd i aros am eiliad cwpl. 88 00:04:08,450 --> 00:04:13,970 Yn wir, rydym yn mynd i aros am, os Dydw i ddim yn camgymryd, bum eiliad. 89 00:04:13,970 --> 00:04:15,870 Mae hyn yn mynd yn milieiliadau. 90 00:04:15,870 --> 00:04:18,640 Ac yna beth ydym yn mynd i wneud yw ein bod yn mynd i roi gwybod bod y mewngofnodi 91 00:04:18,640 --> 00:04:21,459 amseru allan i fewngofnodi yn ôl i mewn 92 00:04:21,459 --> 00:04:23,990 Ac rydym yn mynd i newid y lleoliad i leoliad gwahanol. 93 00:04:23,990 --> 00:04:30,370 94 00:04:30,370 --> 00:04:32,970 >> Felly os wyf yn anfon y wefan hon i rywun, maent yn mynd i fod 95 00:04:32,970 --> 00:04:34,380 pori o gwmpas, tawel. 96 00:04:34,380 --> 00:04:35,650 Nid oes dim yn digwydd. 97 00:04:35,650 --> 00:04:38,550 Ac mewn pum eiliad, mae'n mynd i ddweud, eich mewngofnod wedi dod i ben. 98 00:04:38,550 --> 00:04:40,200 Os gwelwch yn dda mewngofnodi yn ôl i mewn 99 00:04:40,200 --> 00:04:43,400 Unwaith y byddant cliciwch OK, dw i'n mynd i mynd â nhw i wefan arall. 100 00:04:43,400 --> 00:04:45,980 Yn ôl pob tebyg, mae'r wefan yn mynd i yn debyg i'r gwefan sy'n 101 00:04:45,980 --> 00:04:47,280 oeddent yn blaen. 102 00:04:47,280 --> 00:04:50,770 Ac maen nhw'n mynd i gofnodi eu cymwysterau i mewn i fy ngwefan yn hytrach na 103 00:04:50,770 --> 00:04:51,850 eu gwefan. 104 00:04:51,850 --> 00:04:54,780 >> Ac felly y gallaf anfon pobl i anfon e-bost gyda'r ddolen hon. 105 00:04:54,780 --> 00:04:56,240 Yr wyf yn dweud, oh, dyma ddolen. 106 00:04:56,240 --> 00:04:57,290 Mae hwn yn banc, er enghraifft. 107 00:04:57,290 --> 00:05:01,390 Yr wyf yn ei ddweud, dyma, ewch ar y ddolen hon. 108 00:05:01,390 --> 00:05:03,730 Ac ar ôl iddynt anfon, eu bod yn mynd i fod yn pori o gwmpas. 109 00:05:03,730 --> 00:05:07,560 Alla i ddim aros am 15 eiliad, 20 eiliad, ac yna pop hynny os gwelwch yn dda mewngofnodi yn ôl yn 110 00:05:07,560 --> 00:05:08,840 llofnodi yn ôl ar. 111 00:05:08,840 --> 00:05:10,120 Gallwch guys roi cynnig arni gyda llawer mwy o bethau. 112 00:05:10,120 --> 00:05:13,190 Mae'n gymhleth oherwydd eich bod guys Nid yw wedi gweld JavaScript, er mwyn i chi efallai 113 00:05:13,190 --> 00:05:14,750 yn gwybod rhai swyddogaethau. 114 00:05:14,750 --> 00:05:18,625 Ond mae pob rhaid i chi ei wneud yw dechrau gyda sgript, yn dod i ben gyda sgript. 115 00:05:18,625 --> 00:05:22,105 116 00:05:22,105 --> 00:05:25,510 A allech chi roi unrhyw beth yn y canol. 117 00:05:25,510 --> 00:05:27,350 >> Rhybudd yn swyddogaeth, aros am. 118 00:05:27,350 --> 00:05:29,365 Lleoliad ffenestri yn mynd â chi i leoliad newydd. 119 00:05:29,365 --> 00:05:31,370 Ond gallwch wneud cymaint mwy. 120 00:05:31,370 --> 00:05:32,630 Ac felly mae'r syniad yw bod rydym yn cymryd hynny i ffwrdd. 121 00:05:32,630 --> 00:05:39,350 Os byddaf yn mynd i enghraifft dau, ac yr wyf yn rhoi yn yr un cod, mae'n 122 00:05:39,350 --> 00:05:40,210 ddim yn mynd i weithio. 123 00:05:40,210 --> 00:05:43,620 Felly, mae'n argraffu popeth allan oherwydd beth y wefan hon yn wreiddiol 124 00:05:43,620 --> 00:05:50,350 yn cael ei os wyf yn rhoi dim yma, bydd yn ei hargraffu yma. 125 00:05:50,350 --> 00:05:52,390 Felly, nid yw'n argraffu unrhyw beth allan. 126 00:05:52,390 --> 00:05:55,560 Mae'r enghraifft hon yn gwirio mewn gwirionedd i weld os sgript yno. 127 00:05:55,560 --> 00:05:57,163 Felly ie, mynd yn ei flaen. 128 00:05:57,163 --> 00:05:57,606 Gofyn i mi. 129 00:05:57,606 --> 00:05:59,560 >> GYNULLEIDFA: Onid yw anfon a chael neu bostio cais? 130 00:05:59,560 --> 00:06:00,670 >> LUCIANO Arango: Yeah. eu bod yn anfon cais get. 131 00:06:00,670 --> 00:06:01,350 >> GYNULLEIDFA: Mae'n? 132 00:06:01,350 --> 00:06:02,490 >> LUCIANO Arango: Yeah. 133 00:06:02,490 --> 00:06:04,030 Hefyd borwyr yn defnyddio ceisiadau post. 134 00:06:04,030 --> 00:06:07,470 Ond dw i'n ceisio dangos ceisiadau get fel y gallwn weld beth sydd 135 00:06:07,470 --> 00:06:10,760 mewn gwirionedd yn digwydd. 136 00:06:10,760 --> 00:06:12,880 Ac felly os ydym yn edrych ar y cod hwn - felly nid yw'n gweithio anymore. 137 00:06:12,880 --> 00:06:24,870 Ac os ydym yn edrych ar y cod hwn, mae'n mynd i fod yn enghraifft dau. 138 00:06:24,870 --> 00:06:29,300 Pa person hwn yn ei wneud, bydd y person yn gyfrifol am y porwr hwn - 139 00:06:29,300 --> 00:06:35,370 agor, OK - 140 00:06:35,370 --> 00:06:39,290 yn disodli'r gair sgript. 141 00:06:39,290 --> 00:06:42,850 Mae hyn yn PHP, a allai chi guys wedi gweld ychydig o eto. 142 00:06:42,850 --> 00:06:46,250 >> Mae'n dim ond disodli'r sgript gair gydag enw. 143 00:06:46,250 --> 00:06:50,895 Felly, fodd bynnag, os byddaf yn mynd yn ei flaen a dim ond rhoi i mewn - 144 00:06:50,895 --> 00:06:58,520 145 00:06:58,520 --> 00:07:02,360 os byddaf yn cydio fy cod eto, ac rwy'n mynd i addasu ychydig bach. 146 00:07:02,360 --> 00:07:15,010 Yn hytrach na sgript, dwi'n mynd i newid ar gyfer Sgript gyda chyfalaf R. A 147 00:07:15,010 --> 00:07:16,390 rydym yn mynd i weld os y cod hwn yn gweithio. 148 00:07:16,390 --> 00:07:19,090 Felly, nid oedd yn ei hargraffu, sydd yn arwydd da. 149 00:07:19,090 --> 00:07:21,990 A, gobeithio, mewn dau eiliad mwy, mae'n mynd i pop i fyny. 150 00:07:21,990 --> 00:07:22,820 >> Eich mewngofnodi wedi dod i ben. 151 00:07:22,820 --> 00:07:23,210 OK. 152 00:07:23,210 --> 00:07:24,460 Mae hynny'n iawn. 153 00:07:24,460 --> 00:07:27,670 Felly, gwirio am sgript gallai nid o reidrwydd yn gweithio. 154 00:07:27,670 --> 00:07:28,130 Y person - 155 00:07:28,130 --> 00:07:32,290 gall hefyd wirio am priflythyren sgript, llythrennau bach sgript, achos str 156 00:07:32,290 --> 00:07:34,180 cymharu, gwnewch yn siŵr eu bod yn yr un fath. 157 00:07:34,180 --> 00:07:38,480 Ond gall y haciwr yn dal i wneud math o beth gwnaethom yn Vigenere pan symudon ni 158 00:07:38,480 --> 00:07:40,620 cymeriadau yn ôl cwpl, symud ymlaen. 159 00:07:40,620 --> 00:07:43,470 A gall chyfrif i maes sut i roi sgript yn ôl yno fel y gellir ei chwistrellu 160 00:07:43,470 --> 00:07:44,460 y sgript. 161 00:07:44,460 --> 00:07:50,370 >> Felly, yr hyn yr ydych am ei ddefnyddio yn htmlspecialchars i 162 00:07:50,370 --> 00:07:51,330 ddiogelu eich gwefan. 163 00:07:51,330 --> 00:07:56,490 A beth mae hyn yn ei wneud yw ei fod yn gwneud siŵr bod yr hyn eich rhoi mewn - 164 00:07:56,490 --> 00:07:59,610 er enghraifft, dyfynbrisiau neu hyn fwy na neu'n llai na - 165 00:07:59,610 --> 00:08:04,701 yn cael ei ddisodli gyda rhywbeth na fydd yn - 166 00:08:04,701 --> 00:08:05,951 gadewch i mi chwyddo i mewn yma - 167 00:08:05,951 --> 00:08:08,730 168 00:08:08,730 --> 00:08:09,685 y ampersand gwirioneddol. 169 00:08:09,685 --> 00:08:13,420 Bydd yn disodli'r rhai HTML arbennig cymeriadau y byddwn yn gweld pan fyddwn yn 170 00:08:13,420 --> 00:08:14,670 siarad am - 171 00:08:14,670 --> 00:08:18,635 172 00:08:18,635 --> 00:08:20,740 oh, mae hyn yn mynd i fynd â mi yn ôl i - 173 00:08:20,740 --> 00:08:24,220 174 00:08:24,220 --> 00:08:25,380 cymeriadau hyn yn iawn yma. 175 00:08:25,380 --> 00:08:28,180 >> Mae'r rhain yn arwydd bod rhywbeth yn dod. 176 00:08:28,180 --> 00:08:31,570 Ar gyfer HTML, hynny dechrau braced yn dweud wrthym fod rhywbeth 177 00:08:31,570 --> 00:08:33,299 Gysylltiedig HTML yn dod. 178 00:08:33,299 --> 00:08:33,980 Ac rydym am i gael gwared o hynny. 179 00:08:33,980 --> 00:08:36,200 Nid ydym am i roi HTML i mewn i website.k Nid ydym am i'r defnyddiwr fod yn 180 00:08:36,200 --> 00:08:40,260 gallu rhoi rhywbeth yn eu gwefan a all effeithio ar eu gwefan, fel 181 00:08:40,260 --> 00:08:43,480 sgript neu HTML neu rywbeth fel 'na. 182 00:08:43,480 --> 00:08:53,090 Yr hyn sy'n bwysig yw eich bod glanweithio y mewnbwn defnyddwyr. 183 00:08:53,090 --> 00:08:54,720 >> Felly, gall y defnyddwyr mewnbwn llawer o bethau. 184 00:08:54,720 --> 00:08:58,110 Y gall mewnbwn criw o bethau i roi cynnig ar twyllo eich porwr i yn dal i 185 00:08:58,110 --> 00:08:59,410 rhedeg y cod script. 186 00:08:59,410 --> 00:09:02,870 Beth ydych am ei wneud yw nid yn unig yn edrych ar gyfer sgript, ond yn edrych am bopeth 187 00:09:02,870 --> 00:09:04,250 a allai fod yn faleisus. 188 00:09:04,250 --> 00:09:06,800 A bydd htmlspecialchars gwneud hynny i chi, felly nad oes gennych 189 00:09:06,800 --> 00:09:07,340 i chi boeni am y peth. 190 00:09:07,340 --> 00:09:12,280 Ond peidiwch â cheisio gwneud eich pen eich hun fath o gyda eich cod eich hun. 191 00:09:12,280 --> 00:09:14,055 A yw pawb yn glir ar XSS? 192 00:09:14,055 --> 00:09:14,370 >> OK. 193 00:09:14,370 --> 00:09:16,355 Gadewch i ni fynd i'r pigiad SQL. 194 00:09:16,355 --> 00:09:21,010 Felly pigiad SQL Mae'n debyg mai dyma'r rhif un yn agored i niwed 195 00:09:21,010 --> 00:09:22,490 mewn gwahanol wefannau. 196 00:09:22,490 --> 00:09:24,350 Yr wyf yn golygu, yn enghraifft dda - 197 00:09:24,350 --> 00:09:27,350 Yr oeddwn yn ymchwilio bellaf am y peth hyn. 198 00:09:27,350 --> 00:09:34,430 Ac yr wyf yn dod o hyd i erthygl anhygoel hwn, lle Yr wyf yn gweld bod Harvard cael ei dorri, 199 00:09:34,430 --> 00:09:35,390 cael ei hacio. 200 00:09:35,390 --> 00:09:37,370 Ac yr wyf yn meddwl tybed, yn dda, sut y byddent yn ei wneud? 201 00:09:37,370 --> 00:09:41,660 Harvard yw'r mwyaf anhygoel, y rhan fwyaf sicrhau brifysgol erioed. 202 00:09:41,660 --> 00:09:43,850 Iawn? 203 00:09:43,850 --> 00:09:45,410 Yn dda, i dorri y gweinyddwyr, y hacwyr yn defnyddio 204 00:09:45,410 --> 00:09:47,710 techneg o'r enw pigiad SQL. 205 00:09:47,710 --> 00:09:50,250 >> Felly, mae hyn yn digwydd o ddydd i ddydd. 206 00:09:50,250 --> 00:09:53,590 Mae pobl yn anghofio i ystyried i'w chwistrellu SQL. 207 00:09:53,590 --> 00:09:54,930 Harvard yn ei wneud. 208 00:09:54,930 --> 00:10:00,050 Rwy'n credu ei fod yn dweud yma, Princeton, Stanford, Cornell. 209 00:10:00,050 --> 00:10:03,550 Felly, sut yr ydym yn - felly beth yw'r SQL hwn chwistrellu sy'n dod â'r rhain i gyd 210 00:10:03,550 --> 00:10:05,668 pobl i lawr? 211 00:10:05,668 --> 00:10:08,010 OK. 212 00:10:08,010 --> 00:10:12,090 Felly SQL yn iaith raglennu sy'n rydym yn eu defnyddio i gael mynediad at gronfeydd data. 213 00:10:12,090 --> 00:10:14,560 Yr hyn yr ydym yn ei wneud yw ein Dewiswch - 214 00:10:14,560 --> 00:10:18,510 felly beth mae hyn yn darllen ar hyn o bryd yn dethol popeth o'r tabl. 215 00:10:18,510 --> 00:10:22,640 >> SQL, mae'n newid i gronfeydd data hyn sydd â tablau llawn gwybodaeth. 216 00:10:22,640 --> 00:10:26,550 Felly dewiswch popeth o ddefnyddwyr lle yr enw yn enw defnyddiwr. 217 00:10:26,550 --> 00:10:28,120 Iawn? 218 00:10:28,120 --> 00:10:30,770 Yn ddigon syml. 219 00:10:30,770 --> 00:10:34,490 Mae'r syniad o SQL pigiad yw ein bod yn osod rhywfaint cod maleisus a fyddai'n 220 00:10:34,490 --> 00:10:37,270 twyllo y gweinydd i redeg rhywbeth wahanol i'r hyn y mae'n ei 221 00:10:37,270 --> 00:10:38,430 yn wreiddiol yn rhedeg. 222 00:10:38,430 --> 00:10:44,970 Felly, gadewch i ni ddweud am enw defnyddiwr, rydym yn rhoi i mewn neu 1 yn dychwelyd 1. 223 00:10:44,970 --> 00:10:46,700 Felly, rydym yn rhoi i mewn neu 1 yn dychwelyd 1. 224 00:10:46,700 --> 00:10:49,890 Bydd y ffordd y bydd yn darllen yn awr yn dewis gan ddefnyddwyr, popeth o 225 00:10:49,890 --> 00:10:51,360 defnyddwyr - mae hyn yn popeth - 226 00:10:51,360 --> 00:10:55,880 lle mae enw i yw enw defnyddiwr, ond enw defnyddiwr neu 1 yn dychwelyd 1. 227 00:10:55,880 --> 00:11:01,760 >> Felly enw i yw dim neu 1 yn dychwelyd 1. 228 00:11:01,760 --> 00:11:04,060 1 yn dychwelyd 1 bob amser yn wir. 229 00:11:04,060 --> 00:11:07,690 Felly, bydd hyn bob amser yn dychwelyd gwybodaeth gan y defnyddwyr. 230 00:11:07,690 --> 00:11:08,100 OK. 231 00:11:08,100 --> 00:11:10,030 Nid oes angen inni gael y enw defnyddiwr yn gywir. 232 00:11:10,030 --> 00:11:14,240 Allwn gael unrhyw beth yr ydym am ei gael, a bydd yn dychwelyd gwybodaeth 233 00:11:14,240 --> 00:11:15,690 ei angen arnom. 234 00:11:15,690 --> 00:11:17,160 Gadewch i ni edrych ar enghraifft arall. 235 00:11:17,160 --> 00:11:22,720 >> Os ydym wedi dewis popeth o ddefnyddwyr, lle mae enw i yw defnyddwyr TABL GALW - 236 00:11:22,720 --> 00:11:26,420 felly beth ydych chi'n meddwl y bydd hyn yn ei wneud os wyf yn rhoi yn yr enw defnyddiwr 237 00:11:26,420 --> 00:11:29,560 fel defnyddwyr TABL GALW? 238 00:11:29,560 --> 00:11:30,230 Dylai unrhyw un gennych syniad? 239 00:11:30,230 --> 00:11:31,050 Ie. 240 00:11:31,050 --> 00:11:32,470 >> GYNULLEIDFA: Mae'n mynd i ddweud wrth i adael yr holl dablau. 241 00:11:32,470 --> 00:11:35,460 >> LUCIANO Arango: Mae'n mynd i ddweud wrthym i adael popeth yn y wefan, 242 00:11:35,460 --> 00:11:38,290 popeth yn y gronfa ddata. 243 00:11:38,290 --> 00:11:41,910 A beth mae pobl ddefnyddio hwn ar gyfer - felly Rydw i'n mynd i ddangos i chi guys. 244 00:11:41,910 --> 00:11:45,462 Yr wyf yn anabl gollwng y tablau oherwydd doeddwn i ddim am i chi 245 00:11:45,462 --> 00:11:48,240 guys i ollwng fy tablau. 246 00:11:48,240 --> 00:11:49,850 Gadewch i ni edrych ar hyn. 247 00:11:49,850 --> 00:11:54,410 Felly, mae hyn yn syml yn tynnu i fyny 'r wybodaeth ar gyfer person penodol. 248 00:11:54,410 --> 00:11:57,550 Felly, sut rydym yn gwybod os yw hyn yn heffeithio gan chwistrelliad SQL. 249 00:11:57,550 --> 00:12:01,545 Rydym yn mynd i wirio gyflym go iawn os gallwn roi rhywbeth - 250 00:12:01,545 --> 00:12:04,990 251 00:12:04,990 --> 00:12:06,080 gadewch i mi gopïo cod hwn. 252 00:12:06,080 --> 00:12:08,140 Rydw i'n mynd i fynd drosto mewn eiliad. 253 00:12:08,140 --> 00:12:12,210 Rydw i'n mynd i roi gwraidd a 1 yn dychwelyd 1. 254 00:12:12,210 --> 00:12:15,510 >> Mae'r hawl yma, mae hyn yn arwydd y cant 23 - 255 00:12:15,510 --> 00:12:19,970 yr hyn y mae mewn gwirionedd, os wyf yn edrych yn iawn yma yn - 256 00:12:19,970 --> 00:12:23,820 y ffordd y HTML yn cymryd yn y niferoedd, os ydych yn yn edrych ar pan fyddaf yn rhoi mewn lle 257 00:12:23,820 --> 00:12:28,380 yma - pe bawn yn lle rhywbeth yma, mae'n newid i cant 2. 258 00:12:28,380 --> 00:12:31,420 A ydych yn guys yn gweld hyn yn iawn yma pan fyddaf yn rhoi mewn lle? 259 00:12:31,420 --> 00:12:36,710 Mae'r ffordd y mae'n gweithio yw eich bod dim ond anfon gwerthoedd ASCII drwy HTML. 260 00:12:36,710 --> 00:12:40,330 Felly, mae'n cymryd lle, er enghraifft, gofod gyda 20 y cant. 261 00:12:40,330 --> 00:12:41,970 Nid wyf yn gwybod os ydych yn guys wedi gweld hynny o'r blaen. 262 00:12:41,970 --> 00:12:45,100 >> Mae'n disodli hashtag gyda cant 23. 263 00:12:45,100 --> 00:12:50,840 Mae angen hashtag ar ddiwedd neu datganiad fel y gallwn ddweud wrth y 264 00:12:50,840 --> 00:13:00,885 cronfa ddata i anghofio i roi sylwadau ar y colon olaf ar y diwedd. 265 00:13:00,885 --> 00:13:03,060 Ydym am iddo beidio â meddwl am hynny. 266 00:13:03,060 --> 00:13:05,980 Rydym yn unig am iddo redeg popeth bod gennym ymlaen llaw ac 267 00:13:05,980 --> 00:13:07,450 sylwadau hynny. 268 00:13:07,450 --> 00:13:08,710 Gadewch i ni edrych arno. 269 00:13:08,710 --> 00:13:14,670 >> Felly, pe bawn yn rhoi rhywbeth o'i le - gadewch i ni ddweud, er enghraifft, yr wyf yn rhoi 2 hafal 270 00:13:14,670 --> 00:13:15,690 1, nid yw'n rhoi unrhyw beth i mi. 271 00:13:15,690 --> 00:13:22,930 Pan fyddaf yn rhoi 1 yn dychwelyd 1, ac mae'n gwneud dychwelyd rhywbeth, mae hyn yn dweud wrthyf fod 272 00:13:22,930 --> 00:13:24,660 mae hyn yn agored i pigiad SQL. 273 00:13:24,660 --> 00:13:29,090 Yr wyf yn gwybod yn awr fod beth bynnag Yr wyf yn rhoi ar ôl hyn - 274 00:13:29,090 --> 00:13:39,110 ac er enghraifft, DROP TABLAU neu rywbeth fel 'na 275 00:13:39,110 --> 00:13:41,190 Bydd yn bendant yn gweithio. 276 00:13:41,190 --> 00:13:44,350 Yr wyf yn gwybod ei fod yn agored i chwistrelliad SQL oherwydd fy mod yn gwybod bod 277 00:13:44,350 --> 00:13:49,850 o dan y cwfl, mae'n gosod i mi wneud y 1 yn dychwelyd 1 peth. 278 00:13:49,850 --> 00:13:51,100 OK? 279 00:13:51,100 --> 00:13:53,950 280 00:13:53,950 --> 00:13:56,540 >> Ac os ydym yn edrych ar rai eraill hyn, rhif dau a rhif tri, mae'n 281 00:13:56,540 --> 00:13:59,110 mynd i wneud ychydig yn fwy o wirio o dan y 282 00:13:59,110 --> 00:14:03,680 cwfl o'r hyn ydyw. 283 00:14:03,680 --> 00:14:07,425 Felly dylai unrhyw un galluogi'r gostyngiad unrhyw beth eto neu wedi ceisio? 284 00:14:07,425 --> 00:14:08,760 A ydych yn guys fath o gael SQL eto? 285 00:14:08,760 --> 00:14:10,430 Gan fy mod yn gwybod nad ydych guys wedi ei weld eto, felly mae'n fath o 286 00:14:10,430 --> 00:14:11,759 ddryslyd i chi guys. 287 00:14:11,759 --> 00:14:16,160 288 00:14:16,160 --> 00:14:18,480 Gadewch i gymryd golwg. 289 00:14:18,480 --> 00:14:21,270 Felly beth yw'r ffordd i atal SQLI? 290 00:14:21,270 --> 00:14:21,390 OK. 291 00:14:21,390 --> 00:14:23,330 Felly mae hyn yn bwysig iawn oherwydd eich bod guys yn bendant yn awyddus i atal 292 00:14:23,330 --> 00:14:24,090 hyn yn eich gwefannau. 293 00:14:24,090 --> 00:14:28,040 >> Os nad yw, eich holl ffrindiau yn mynd i gwneud hwyl am i chi pan fyddant yn galw heibio i gyd 294 00:14:28,040 --> 00:14:29,390 eich tablau. 295 00:14:29,390 --> 00:14:36,150 Felly, y syniad yw eich bod yn atgyweirio'r SQL mewn ffordd arbennig, tra ydych yn cyfateb 296 00:14:36,150 --> 00:14:41,940 yr hyn y mae'r mewnbynnau defnyddiwr llinyn penodol. 297 00:14:41,940 --> 00:14:46,120 Felly, y ffordd mae hyn yn gweithio yw eich baratoi'r gronfa ddata. 298 00:14:46,120 --> 00:14:50,830 I chi ddewis enw, lliw, a chalorïau o ffrwythau a elwir yn gronfa ddata. 299 00:14:50,830 --> 00:14:53,580 Ac yna pan galorïau yn llai na, ac rydym yn rhoi marc cwestiwn yno 300 00:14:53,580 --> 00:14:56,530 dweud ein bod yn mynd i mewnbwn rhywbeth mewn eiliad. 301 00:14:56,530 --> 00:14:58,850 >> A lliw yn dychwelyd, ac rydym yn rhoi cwestiwn marc dweud ein bod yn mynd i 302 00:14:58,850 --> 00:15:00,913 mewnbwn rhywbeth mewn ail hefyd. 303 00:15:00,913 --> 00:15:02,660 OK? 304 00:15:02,660 --> 00:15:09,920 Ac yna rydym yn gweithredu ei, gan roi mewn 150 a choch. 305 00:15:09,920 --> 00:15:12,820 A bydd hyn yn gwirio i wneud yn siŵr bod y ddau hyn - 306 00:15:12,820 --> 00:15:15,300 Bydd amrywiaeth hwn yn sicrhau bod y rhain dau yn cyfanrif a 307 00:15:15,300 --> 00:15:16,550 bod hyn yn llinyn. 308 00:15:16,550 --> 00:15:18,810 309 00:15:18,810 --> 00:15:20,890 Yna rydym yn mynd, ac rydym yn nôl cyfan, yr ydym yn ei roi mewn coch. 310 00:15:20,890 --> 00:15:21,964 Mae hynny'n golygu ein bod nôl bawb. 311 00:15:21,964 --> 00:15:26,790 Mae'n golygu ein mewn gwirionedd yn gweithredu y SQL datganiad a'i roi yn ôl yn goch. 312 00:15:26,790 --> 00:15:30,530 Yma rydym yn ei wneud yr un fath, ond yr ydym yn wneud yr un peth ar gyfer melyn. 313 00:15:30,530 --> 00:15:32,490 Ac rydym yn nôl bawb. 314 00:15:32,490 --> 00:15:36,140 >> Ac yn y modd hwn, byddwn yn atal y defnyddiwr o fod yn gallu rhoi mewnbwn rhywbeth 315 00:15:36,140 --> 00:15:41,710 Nid yw bod yr hyn yr ydym yn penodedig, llinyn neu cyfanrif, er enghraifft. 316 00:15:41,710 --> 00:15:45,100 317 00:15:45,100 --> 00:15:46,610 Yr oeddwn yn siarad yn gynharach am dibynnu ar eraill. 318 00:15:46,610 --> 00:15:50,010 Pan fyddwch yn guys gychwyn ar eich prosiect, rydych yn y rhan fwyaf bendant yn mynd i ddefnyddio 319 00:15:50,010 --> 00:15:52,310 y cychwyn neu rywbeth tebyg. 320 00:15:52,310 --> 00:15:53,490 Ydych chi guys a ddefnyddir Wordpress erioed? 321 00:15:53,490 --> 00:15:57,170 Mae'n debyg eich bod guys wedi defnyddio Wordpress mwyaf tebygol. 322 00:15:57,170 --> 00:16:00,050 Felly, y broblem gyda defnyddio pethau pobl eraill - 323 00:16:00,050 --> 00:16:05,940 Im 'jyst yn mynd i Google gyflym go iawn Agored i niwed wordpress. 324 00:16:05,940 --> 00:16:07,495 >> Os byddaf yn tynnu hyn i fyny ar hyn o bryd - 325 00:16:07,495 --> 00:16:08,995 Yr wyf yn llythrennol wnes i ddwy eiliad Google. 326 00:16:08,995 --> 00:16:12,300 327 00:16:12,300 --> 00:16:13,800 Gallwn weld bod Wordpress - 328 00:16:13,800 --> 00:16:17,450 hyn yn cael ei dyddio fel Medi '12. 329 00:16:17,450 --> 00:16:19,120 26 yn cael ei ddiweddaru. 330 00:16:19,120 --> 00:16:23,620 Mae cyfluniad rhagosodedig Wordpress cyn 3.6 Nid yn atal hyn 331 00:16:23,620 --> 00:16:27,110 rhai Llwythiadau, a allai ei gwneud yn haws i 332 00:16:27,110 --> 00:16:29,790 ymosodiadau sgriptio traws-safle. 333 00:16:29,790 --> 00:16:34,530 Felly stori gyflym, ar ôl i ni yn gweithio gyda - felly oeddwn i, yn yr haf, yn gweithio yn 334 00:16:34,530 --> 00:16:34,970 internship. 335 00:16:34,970 --> 00:16:40,400 Ac rydym yn gweithio gyda'r math o fel cwmni cerdyn credyd mawr. 336 00:16:40,400 --> 00:16:42,020 >> Ac maent yn dibynnu ar rywbeth a elwir yn - 337 00:16:42,020 --> 00:16:45,740 Nid wyf yn gwybod os ydych yn guys chwarae erioed gyda chynnyrch o'r enw Joomla. 338 00:16:45,740 --> 00:16:51,750 Joomla yn gynnyrch sy'n cael ei ddefnyddio i rheolaeth - math o debyg i 339 00:16:51,750 --> 00:16:54,340 Wordpress, a ddefnyddir i adeiladu gwefannau. 340 00:16:54,340 --> 00:16:56,060 Felly, roedd yn rhaid iddynt eu gwefan gweithio ar Joomla. 341 00:16:56,060 --> 00:16:59,290 Mae hyn mewn gwirionedd gerdyn credyd cwmni yn Colombia. 342 00:16:59,290 --> 00:17:01,000 'N annhymerus' yn mynd â chi at eu wefan go iawn gyflym. 343 00:17:01,000 --> 00:17:04,550 344 00:17:04,550 --> 00:17:05,400 >> Felly, maent yn defnyddio Joomla. 345 00:17:05,400 --> 00:17:08,630 Ac nid ydynt wedi diweddaru Joomla i'r ychwanegiad diweddaraf. 346 00:17:08,630 --> 00:17:12,160 Ac felly pan oeddem yn bwrw golwg ar eu cod, rydym yn gallu mewn gwirionedd yn 347 00:17:12,160 --> 00:17:18,430 fynd y tu mewn eu cod ac yn dwyn yr holl gwybodaeth cerdyn credyd eu bod wedi, 348 00:17:18,430 --> 00:17:21,670 holl rifau cerdyn credyd, enwau, y cyfeiriadau. 349 00:17:21,670 --> 00:17:22,740 Ac mae hyn yn unig - 350 00:17:22,740 --> 00:17:23,569 ac eu cod yn berffaith iawn. 351 00:17:23,569 --> 00:17:24,710 Roedd ganddynt cod mawr. 352 00:17:24,710 --> 00:17:25,389 Yr oedd yr holl diogelwch. 353 00:17:25,389 --> 00:17:26,520 Maent yn gwirio'r holl gronfeydd data. 354 00:17:26,520 --> 00:17:29,020 Maent yn gwneud yn siwr draws y safle sgriptio yn iawn. 355 00:17:29,020 --> 00:17:34,390 >> Ond maent yn defnyddio rhywbeth nad oedd diweddaru, nid oedd hynny'n ddiogel. 356 00:17:34,390 --> 00:17:36,940 Ac felly sy'n eu harwain i - er mwyn i chi guys yn bendant yn mynd i ddefnyddio eraill 357 00:17:36,940 --> 00:17:40,650 cod, fframweithiau pobl eraill pobl i adeiladu eich gwefan. 358 00:17:40,650 --> 00:17:43,860 Gwnewch yn siŵr eu bod yn ddiogel oherwydd weithiau nid yw'n chi, yr un sy'n 359 00:17:43,860 --> 00:17:44,480 yn gwneud camgymeriad. 360 00:17:44,480 --> 00:17:47,440 Ond mae rhywun arall yn gwneud camgymeriad, a yna rydych yn disgyn i lawr oherwydd hynny. 361 00:17:47,440 --> 00:17:51,190 362 00:17:51,190 --> 00:17:53,885 >> Cyfrineiriau a PII. 363 00:17:53,885 --> 00:17:56,820 Felly cyfrineiriau. 364 00:17:56,820 --> 00:17:58,070 OK. 365 00:17:58,070 --> 00:17:59,980 366 00:17:59,980 --> 00:18:04,230 Gadewch i ni edrych ar cyfrineiriau go gyflym. 367 00:18:04,230 --> 00:18:04,590 OK. 368 00:18:04,590 --> 00:18:06,520 Os gwelwch yn dda ddweud wrthyf bod pawb defnyddio yn ddiogel - 369 00:18:06,520 --> 00:18:09,030 Rwy'n gobeithio pawb yma yn defnyddio cyfrineiriau diogel. 370 00:18:09,030 --> 00:18:12,890 Im 'jyst yn gosod y i mewn fel rhagdybiaeth. 371 00:18:12,890 --> 00:18:14,850 Felly rydych guys yn bendant yn mynd i storio cyfrineiriau ar gyfer eich gwefannau. 372 00:18:14,850 --> 00:18:17,440 Rydych yn mynd i wneud rhywbeth fel mewngofnodi neu rywbeth fel 'na. 373 00:18:17,440 --> 00:18:19,610 Beth sy'n bwysig yw peidio storio cyfrineiriau mewn testun plaen. 374 00:18:19,610 --> 00:18:20,860 Mae hyn yn hynod o bwysig. 375 00:18:20,860 --> 00:18:23,960 Nid ydych am i storio cyfrinair mewn testun plaen. 376 00:18:23,960 --> 00:18:27,370 >> A ydych yn bendant nad ydych wir eisiau i storio mewn un ffordd hash. 377 00:18:27,370 --> 00:18:32,440 Felly, beth yw un ffordd hash yw pan fyddwch yn cynhyrchu gair, pan fyddwch yn rhoi hyn 378 00:18:32,440 --> 00:18:36,200 gair i mewn i swyddogaeth hash, bydd yn cynhyrchu yn ôl rhyw fath o cryptig 379 00:18:36,200 --> 00:18:39,390 neges neu set cryptig o allweddi. 380 00:18:39,390 --> 00:18:40,640 'N annhymerus' yn dangos i chi enghraifft. 381 00:18:40,640 --> 00:18:44,620 382 00:18:44,620 --> 00:18:50,250 Rydw i'n mynd i hash y maent yn password1 geiriau. 383 00:18:50,250 --> 00:18:55,280 Hash Felly md5 yn mynd i ddychwelyd i mi rhyw fath o wybodaeth 'n annaearol. 384 00:18:55,280 --> 00:18:59,140 >> Y broblem yw bod pobl allan yna yn hoffi i fynd i mewn i wefannau 385 00:18:59,140 --> 00:19:02,750 eisoes cyfrifedig allan fath o'r holl hashes md5. 386 00:19:02,750 --> 00:19:06,030 Yr hyn y maent yn ei eu bod yn eistedd i lawr ar eu cyfrifiaduron, ac maent yn hashed pob 387 00:19:06,030 --> 00:19:09,660 un gair posibl allan yno nes maent yn cael rhyw fath o beth yw hwn. 388 00:19:09,660 --> 00:19:11,420 Os wyf yn edrych hyn i fyny - 389 00:19:11,420 --> 00:19:12,420 Fi jyst yn gafael yn hash hwn. 390 00:19:12,420 --> 00:19:14,120 Os byddaf yn cael hash hwn gan - 391 00:19:14,120 --> 00:19:17,470 os byddaf yn mynd i mewn i gwefan, ac yr wyf yn dod o hyd i hash hwn oherwydd fy mod yn cyrraedd y 392 00:19:17,470 --> 00:19:24,100 cronfeydd data, ac yr wyf yn edrych i fyny, rhywun eisoes cyfrifedig allan i mi. 393 00:19:24,100 --> 00:19:28,600 394 00:19:28,600 --> 00:19:29,100 >> Yeah. 395 00:19:29,100 --> 00:19:35,030 Felly mae pobl yn eistedd i lawr, a beth bynnag md5 hash eich bod yn rhoi i mewn, maent yn mynd i 396 00:19:35,030 --> 00:19:37,760 dychwelyd atoch rhywbeth mae hwnnw'n air. 397 00:19:37,760 --> 00:19:39,800 Os byddaf yn hash air arall, fel - 398 00:19:39,800 --> 00:19:42,410 Nid wyf yn gwybod - 399 00:19:42,410 --> 00:19:43,490 trees2. 400 00:19:43,490 --> 00:19:46,050 Dydw i ddim eisiau bod yn siomedig gan fy chwiliadau Google. 401 00:19:46,050 --> 00:19:49,820 402 00:19:49,820 --> 00:19:52,780 Yno y mae, trees2. 403 00:19:52,780 --> 00:19:55,930 Felly mae llawer o wefannau yn dal i ddefnyddio hash md5. 404 00:19:55,930 --> 00:19:57,730 Maen nhw'n dweud, oh, mae'n ddiogel. 405 00:19:57,730 --> 00:19:58,570 Nid ydym yn storio mewn testun plaen. 406 00:19:58,570 --> 00:19:59,740 Mae gennym y hash md5. 407 00:19:59,740 --> 00:20:01,880 A'r holl rhaid i mi ei wneud yw dim ond Google y rhif. 408 00:20:01,880 --> 00:20:03,940 >> Nid oes rhaid i mi hyd yn oed i gyfrifo fy hun. 409 00:20:03,940 --> 00:20:06,790 Gall Fi jyst Google, ac rywun eisoes yn gwneud hynny i mi. 410 00:20:06,790 --> 00:20:08,010 Dyma griw ohonynt. 411 00:20:08,010 --> 00:20:09,260 Dyma griw o cyfrineiriau. 412 00:20:09,260 --> 00:20:13,890 413 00:20:13,890 --> 00:20:18,680 Felly, yn bendant yn defnyddio hash md5, gan fod yr holl rhaid i chi 414 00:20:18,680 --> 00:20:19,140 wneud yw Google hynny. 415 00:20:19,140 --> 00:20:20,390 Felly, beth ydych chi eisiau ei ddefnyddio yn lle? 416 00:20:20,390 --> 00:20:29,340 417 00:20:29,340 --> 00:20:30,170 OK. 418 00:20:30,170 --> 00:20:31,260 Rhywbeth o'r enw graeanu. 419 00:20:31,260 --> 00:20:32,460 Felly beth graeanu yw - 420 00:20:32,460 --> 00:20:36,280 ydych chi'n guys cofio pan oeddem siarad am ar hap i mewn - 421 00:20:36,280 --> 00:20:37,920 Dydw i ddim yn siŵr beth pset ei fod yn - 422 00:20:37,920 --> 00:20:41,140 oedd hi pset yno neu bedwar? 423 00:20:41,140 --> 00:20:45,150 >> Rydym yn siarad am ddod o hyd i y nodwydd yn y tas wair. 424 00:20:45,150 --> 00:20:48,480 Ac yn y pset, dywedodd y gallech mewn gwirionedd yn chyfrif i maes beth ar hap 425 00:20:48,480 --> 00:20:51,840 cynhyrchu oherwydd bod rhywun eisoes yn rhedeg ar hap miliwn o weithiau a dim ond 426 00:20:51,840 --> 00:20:53,230 math o ffurfio yr hyn y maent yn ei gynhyrchu. 427 00:20:53,230 --> 00:20:55,840 Beth ydych am ei wneud yw rhoi mewn mewnbwn. 428 00:20:55,840 --> 00:20:57,130 Felly, dyna beth graeanu fath o yn. 429 00:20:57,130 --> 00:21:00,900 Maent eisoes yn cyfrifedig gwybod beth halltu yn dychwelyd ar gyfer pob gwaith. 430 00:21:00,900 --> 00:21:04,750 >> Felly beth graeanu yn ei wneud yn eich bod yn cynnwys halen. 431 00:21:04,750 --> 00:21:06,160 Eich rhoi mewn gair penodol. 432 00:21:06,160 --> 00:21:09,720 A bydd yn hash y gair hwnnw yn dibynnu ar yr hyn eich rhoi mewn yma. 433 00:21:09,720 --> 00:21:13,570 Felly os wyf yn hash un cyfrinair gyda hyn dedfryd, mae'n mynd i hash 434 00:21:13,570 --> 00:21:17,180 yn wahanol os byddaf yn hash password1 gyda brawddeg gwahanol. 435 00:21:17,180 --> 00:21:21,670 Mae'n fath o rhoi yn rhywle i cychwyn ar gyfer yr stwnsio i ddechrau. 436 00:21:21,670 --> 00:21:25,970 Felly, mae'n llawer anoddach i gyfrifo, ond i chi yn dal i gyfrifo, yn enwedig 437 00:21:25,970 --> 00:21:26,830 os ydych yn defnyddio halen drwg. 438 00:21:26,830 --> 00:21:29,650 >> Mae pobl eisoes wedi cyfrifedig allan hefyd halwynau cyffredin a cyfrifedig allan 439 00:21:29,650 --> 00:21:31,500 beth ei fod yn. 440 00:21:31,500 --> 00:21:34,980 Halwynau ar hap yn llawer gwell, ond y ffordd orau yw defnyddio 441 00:21:34,980 --> 00:21:38,160 rhywbeth o'r enw crypt. 442 00:21:38,160 --> 00:21:40,480 A beth crypt yn caniatáu i chi yn - felly swyddogaethau hyn yn 443 00:21:40,480 --> 00:21:41,820 adeiladwyd eisoes i chi. 444 00:21:41,820 --> 00:21:44,910 Mae llawer o bobl yn anghofio hynny, neu maent yn anghofio ei ddefnyddio. 445 00:21:44,910 --> 00:21:54,520 Ond os wyf yn edrych i fyny PHP crypt, crypt eisoes yn dychwelyd llinyn hash i mi. 446 00:21:54,520 --> 00:21:58,790 Ac mae'n mewn gwirionedd yn halwynau sawl gwaith ac hashes sawl gwaith. 447 00:21:58,790 --> 00:22:00,070 >> Felly nid oes rhaid i ni wneud hyn. 448 00:22:00,070 --> 00:22:04,790 Felly, rhaid i chi ei wneud yw anfon i mewn crypt. 449 00:22:04,790 --> 00:22:08,170 A bydd yn creu hash gwych heb i chi orfod poeni am halen 450 00:22:08,170 --> 00:22:08,990 neu unrhyw beth. 451 00:22:08,990 --> 00:22:12,000 Oherwydd pe baech yn ei halen, mae gennych i gofio beth halen rydych yn ei ddefnyddio 452 00:22:12,000 --> 00:22:13,800 oherwydd os nad yw, ni allwch gael eich cyfrinair yn ôl heb y 453 00:22:13,800 --> 00:22:15,760 halen a ddefnyddiwyd gennych. 454 00:22:15,760 --> 00:22:17,010 OK. 455 00:22:17,010 --> 00:22:21,120 456 00:22:21,120 --> 00:22:23,150 >> A hefyd adnabod personol gwybodaeth. 457 00:22:23,150 --> 00:22:26,730 Nawdd cymdeithasol Felly, cerdyn credyd - mae hynny'n eithaf amlwg. 458 00:22:26,730 --> 00:22:31,880 Ond weithiau mae pobl yn anghofio y ffordd y mae'n gwaith hwn yw, faint o wybodaeth yr ydych yn 459 00:22:31,880 --> 00:22:35,690 mewn gwirionedd mae angen i ddod o hyd i un person? 460 00:22:35,690 --> 00:22:37,740 Rhywun wnaeth astudiaeth o hyn yn ffordd yn ôl. 461 00:22:37,740 --> 00:22:40,870 Ac yr oedd fel, os oes gennych enw llawn, ni allwch ddod o hyd i 462 00:22:40,870 --> 00:22:41,610 rhywun yn hawdd. 463 00:22:41,610 --> 00:22:43,900 Ond beth os oes gennych enw llawn ac mae eu dyddiad geni? 464 00:22:43,900 --> 00:22:47,770 A yw hynny'n ddigon i nodi rhywun yn benodol? 465 00:22:47,770 --> 00:22:52,760 >> Beth os ydych wedi cael eu henw a cyfeiriad stryd eu bod yn byw ar? 466 00:22:52,760 --> 00:22:55,110 A yw hynny'n ddigon i ddod o hyd i rywun? 467 00:22:55,110 --> 00:23:02,490 A dyna pryd maent yn cwestiynu, beth yw gwybodaeth bersonol adnabyddadwy, a 468 00:23:02,490 --> 00:23:05,360 beth ddylech chi boeni am beidio â rhoi i ffwrdd? 469 00:23:05,360 --> 00:23:08,770 Os ydych yn rhoi bersonol adnabyddadwy i ffwrdd gwybodaeth bod rhywun yn rhoi i chi, 470 00:23:08,770 --> 00:23:11,420 gallech o bosibl yn cael eu herlyn. 471 00:23:11,420 --> 00:23:12,610 Ac rydym yn bendant yn dymuno hynny. 472 00:23:12,610 --> 00:23:14,955 >> Felly, pan fyddwch yn rhoi eich gwefan allan, ac yr ydych wedi cael 'n sylweddol oera 473 00:23:14,955 --> 00:23:17,230 dylunio, gobeithio i chi ei wneud prosiect terfynol awesome. 474 00:23:17,230 --> 00:23:18,370 Unrhyw fath o chi eisiau ei roi allan yno. 475 00:23:18,370 --> 00:23:21,420 Y byddwch am wneud yn siŵr bod beth bynnag eich bod yn cymryd oddi wrth y defnyddiwr, os yw'n 476 00:23:21,420 --> 00:23:25,310 gwybodaeth adnabyddadwy bersonol, rydych yn eisiau gwneud yn siŵr eich bod yn cael mewn gwirionedd 477 00:23:25,310 --> 00:23:26,560 ofalus ag ef. 478 00:23:26,560 --> 00:23:29,670 479 00:23:29,670 --> 00:23:31,080 >> Pigiad Shell. 480 00:23:31,080 --> 00:23:31,350 OK. 481 00:23:31,350 --> 00:23:37,590 Pigiad Shell yn caniatáu i'r lladron i cael mynediad at eich llinell gorchymyn gwirioneddol 482 00:23:37,590 --> 00:23:39,660 yn eich gweinydd. 483 00:23:39,660 --> 00:23:44,060 Ac felly mae'n gallu rhedeg cod na allwch reoli. 484 00:23:44,060 --> 00:23:49,560 Gadewch i gymryd enghraifft o hyn llinyn hardd iawn yma. 485 00:23:49,560 --> 00:23:55,570 Os ydym yn mynd i mewn i'r wefan eto, rwy'n mynd i fynd i mewn i cod pigiad. 486 00:23:55,570 --> 00:23:58,910 Felly, beth mae hyn yn ei wneud - 487 00:23:58,910 --> 00:24:00,420 mae hefyd yn yr hyn yr ydym yn edrych ar blaen. 488 00:24:00,420 --> 00:24:11,200 Rydym yn gosod y defnyddiwr roi ym mha mae am, a bydd yn argraffu 489 00:24:11,200 --> 00:24:12,220 beth bynnag y dymunwch. 490 00:24:12,220 --> 00:24:13,890 >> Felly, yr wyf i'n mynd i roi galwad. 491 00:24:13,890 --> 00:24:15,540 Beth mae hyn yn ei wneud yw - 492 00:24:15,540 --> 00:24:16,940 bydd yn dechrau drwy cydgadwyno. 493 00:24:16,940 --> 00:24:19,520 Felly, bydd yn gadael i mi redeg beth bynnag gorchymyn rhedeg y person 494 00:24:19,520 --> 00:24:21,500 cyn ac ar fy orchymyn. 495 00:24:21,500 --> 00:24:23,980 A dwi'n rhedeg gorchymyn system. 496 00:24:23,980 --> 00:24:27,310 A llinynnau diwethaf hyn - cofiwch hyn yr wyf yn siarad â chi guys am, 497 00:24:27,310 --> 00:24:31,725 tra yn rhaid i chi amgodio mewn dull URL. 498 00:24:31,725 --> 00:24:35,010 499 00:24:35,010 --> 00:24:36,992 Os byddaf yn rhedeg hyn yn awr - 500 00:24:36,992 --> 00:24:39,150 'N annhymerus' yn dangos i chi dros yma - 501 00:24:39,150 --> 00:24:41,100 byddwch yn gweld fy mod yn dod i ben gorau i redeg gorchymyn. 502 00:24:41,100 --> 00:24:45,700 503 00:24:45,700 --> 00:24:49,320 >> Mae hyn mewn gwirionedd y gweinydd gwirioneddol bod fy ngwefan yn rhedeg ar. 504 00:24:49,320 --> 00:24:55,840 505 00:24:55,840 --> 00:24:58,510 Felly, nid ydym yn dymuno hynny, oherwydd gallaf redeg - 506 00:24:58,510 --> 00:25:00,320 Nid yw gweinydd hwn yw pwll. 507 00:25:00,320 --> 00:25:04,030 Felly, nid wyf am i llanast i fyny ei chwaer, gweinyddwr Marcus yn. 508 00:25:04,030 --> 00:25:07,470 Ond gallwch redeg mwy gorchmynion sy'n beryglus. 509 00:25:07,470 --> 00:25:11,885 Ac o bosibl, gallech dileu ffeiliau, dileu cyfeirlyfrau. 510 00:25:11,885 --> 00:25:14,390 511 00:25:14,390 --> 00:25:17,970 Gallaf dynnu cyfeiriadur penodol os Roeddwn i eisiau, ond dydw i ddim eisiau 512 00:25:17,970 --> 00:25:19,530 i wneud hynny i Marcus. 513 00:25:19,530 --> 00:25:20,420 Mae'n ddyn neis. 514 00:25:20,420 --> 00:25:21,470 Mae'n gadael i mi fenthyg ei gweinydd. 515 00:25:21,470 --> 00:25:24,620 Felly, yr wyf i'n mynd i adael iddo oddi ar y un da. 516 00:25:24,620 --> 00:25:32,280 >> Felly, yr hyn nad ydym yn dymuno defnyddio - nid ydym yn ei wneud am ddefnyddio eval neu system. 517 00:25:32,280 --> 00:25:34,755 Eval neu'r system yn caniatáu i ni gwneud galwadau system hyn. 518 00:25:34,755 --> 00:25:37,410 519 00:25:37,410 --> 00:25:38,410 Dulliau eval gwerthuso. 520 00:25:38,410 --> 00:25:40,790 System yn golygu yr hyn yr wyf yn rhedeg. 521 00:25:40,790 --> 00:25:42,490 Mae'n cael ei redeg rhywbeth yn y system. 522 00:25:42,490 --> 00:25:46,730 Ond gallwn wahardd y pethau hyn yn PHP fel nad ydym yn eu defnyddio. 523 00:25:46,730 --> 00:25:47,400 A llwytho i fyny ffeil. 524 00:25:47,400 --> 00:25:49,180 Yr oeddwn yn mynd i wneud yn anhygoel peth gyda'r llwytho i fyny ffeil. 525 00:25:49,180 --> 00:25:52,740 Ond fel y dywedais wrthych guys, fy ffeil Nid peth llwytho yn gweithio. 526 00:25:52,740 --> 00:25:54,590 Os wyf yn i lwytho ffeil ar hyn o bryd - 527 00:25:54,590 --> 00:25:57,120 528 00:25:57,120 --> 00:26:00,830 pe bawn i lwytho ffeil, ac mae'n llun - 529 00:26:00,830 --> 00:26:03,180 gennych beth llwytho i fyny dyna llun. 530 00:26:03,180 --> 00:26:03,660 Mae hynny'n iawn. 531 00:26:03,660 --> 00:26:04,280 Nid oes dim yn digwydd. 532 00:26:04,280 --> 00:26:10,840 >> Ond os oes gennych ffeil llwytho i fyny, ar gyfer enghraifft, ac y defnyddiwr mewn gwirionedd Llwythiadau 533 00:26:10,840 --> 00:26:19,220 ffeil PHP neu ffeil exe neu rywbeth fel 'na, yna gallech o bosibl 534 00:26:19,220 --> 00:26:19,740 gennych broblem. 535 00:26:19,740 --> 00:26:21,390 Mae hyn yn gweithio o'r blaen. 536 00:26:21,390 --> 00:26:25,202 Yn anffodus i mi, 'i' nad ydynt yn gweithio anymore. 537 00:26:25,202 --> 00:26:30,230 Os byddaf yn, er enghraifft, llwytho y ffeil, rwy'n Nid yw cael caniatâd i lwytho 538 00:26:30,230 --> 00:26:33,400 y ffeil oherwydd y gweinydd heb fod yn mwynglawdd. 539 00:26:33,400 --> 00:26:38,670 Felly y dyn iawn smart. 540 00:26:38,670 --> 00:26:39,610 >> Felly, nid ydym am - 541 00:26:39,610 --> 00:26:40,130 Rydw i'n mynd i ddangos i chi guys - 542 00:26:40,130 --> 00:26:41,840 OK, dyma rai offer 'n sylweddol oera. 543 00:26:41,840 --> 00:26:45,100 Felly hyn - 544 00:26:45,100 --> 00:26:47,715 mynd i mewn - os ydych yn guys yn cael Firefox - gobeithio i chi ei wneud. 545 00:26:47,715 --> 00:26:54,260 Mae dau adia-ons a elwir yn SQL chwistrellu Fi a Cross-Safle Sgript Me. 546 00:26:54,260 --> 00:26:56,870 Maent yn agor cyn lleied ochr bariau ar yr ochr. 547 00:26:56,870 --> 00:27:01,480 Ac os wyf yn mynd i CS60 er enghraifft - 548 00:27:01,480 --> 00:27:04,210 felly beth mae'n ei wneud yw ei fod yn edrych ar gyfer yr holl ffurfiau - 549 00:27:04,210 --> 00:27:07,220 550 00:27:07,220 --> 00:27:08,760 gobeithio, na fyddaf yn cael mewn trafferth ar gyfer hyn. 551 00:27:08,760 --> 00:27:09,190 >> Ond OK. 552 00:27:09,190 --> 00:27:12,600 Dyma y system pin. 553 00:27:12,600 --> 00:27:18,946 Felly, pan fyddaf yn dechrau chwilio am dyllau yn y system, y peth cyntaf i mi ei wneud yw 554 00:27:18,946 --> 00:27:21,820 agor y fach hardd offer ar ochr. 555 00:27:21,820 --> 00:27:24,160 Ac yr wyf i'n mynd i brofi ffurflenni ag ymosodiadau auto. 556 00:27:24,160 --> 00:27:28,510 Ac felly beth mae hyn yn ei wneud yw bydd yn araf agor bagad o borwyr. 557 00:27:28,510 --> 00:27:29,930 Dyma griw o borwyr. 558 00:27:29,930 --> 00:27:33,320 Ac mae'n ceisio pob un cyfuniad sgriptio traws-safle 559 00:27:33,320 --> 00:27:37,380 bod o bosibl yw, os byddwch yn gweld ar yr ochr. 560 00:27:37,380 --> 00:27:42,080 >> A bydd yn rhoi canlyniad i mi math o beth yw'r ateb. 561 00:27:42,080 --> 00:27:42,860 Mae pob pasio. 562 00:27:42,860 --> 00:27:43,910 Yn amlwg, maent i gyd yn pasio. 563 00:27:43,910 --> 00:27:46,190 Yr wyf yn golygu, maent yn wirioneddol smart bobl i fyny yno. 564 00:27:46,190 --> 00:27:48,010 Ond pe bawn yn rhedeg - 565 00:27:48,010 --> 00:27:52,050 Rwyf wedi cael gwaith o'r blaen pan fyddaf yn rhedeg y ar brosiectau terfynol y myfyrwyr. 566 00:27:52,050 --> 00:27:56,080 Yr wyf yn syml yn rhedeg SQL Chwistrellu Me gyda pob ymosodiadau gwahanol. 567 00:27:56,080 --> 00:28:00,080 Ac mae'n ceisio SQL chwistrellu hwn gweinydd pin. 568 00:28:00,080 --> 00:28:03,590 Felly, os ydym yn sgrolio i lawr, er enghraifft, mae'n dweud - 569 00:28:03,590 --> 00:28:04,960 mae hyn yn dda os bydd yn dychwelyd. 570 00:28:04,960 --> 00:28:08,250 >> Felly mae'n profi rhai gwerthoedd penodol. 571 00:28:08,250 --> 00:28:11,170 A 'r gweinyddwr dychwelyd cod a oedd yn negyddol. 572 00:28:11,170 --> 00:28:11,780 Dileu dros dro. 573 00:28:11,780 --> 00:28:13,030 Mae hyn yn dda. 574 00:28:13,030 --> 00:28:17,050 575 00:28:17,050 --> 00:28:20,750 Mae'n ceisio holl brofion hyn. 576 00:28:20,750 --> 00:28:21,790 Felly, fe allech chi redeg - 577 00:28:21,790 --> 00:28:27,860 Byddwn yn hoffi gallu dod o hyd i gwefan go iawn cyflym a fyddai'n gadael i mi - 578 00:28:27,860 --> 00:28:29,110 efallai y siop CS50. 579 00:28:29,110 --> 00:28:43,890 580 00:28:43,890 --> 00:28:45,711 >> Wow, mae hyn yn mynd i cymryd ffordd rhy hir. 581 00:28:45,711 --> 00:28:53,090 582 00:28:53,090 --> 00:28:55,130 'N annhymerus' gadael i'r prawf cyntaf Nid yw gorffen yn iawn. 583 00:28:55,130 --> 00:28:57,330 Felly, mae'n cwyno. 584 00:28:57,330 --> 00:28:58,470 Felly mae'r rhain yn dri pheth. 585 00:28:58,470 --> 00:29:00,430 Mae'r offer hyn yn rhad ac am ddim. 586 00:29:00,430 --> 00:29:03,960 Gallwch eu llwytho i lawr ac yn rhedeg ar eich gwefan, a bydd yn dweud wrthych os 587 00:29:03,960 --> 00:29:06,650 gennych sgriptio traws-safle, os oes gennych SQL, os oes gennych 588 00:29:06,650 --> 00:29:07,900 rhywbeth o yn y blaen. 589 00:29:07,900 --> 00:29:12,230 590 00:29:12,230 --> 00:29:14,500 Im 'yn fath o chwarae o hyd. 591 00:29:14,500 --> 00:29:15,550 >> Yr hyn sy'n bwysig - 592 00:29:15,550 --> 00:29:17,900 Iawn, felly peidiwch byth yn ymddiried yn y defnyddiwr. 593 00:29:17,900 --> 00:29:21,920 Beth bynnag yw'r mewnbynnau defnyddiwr i chi, gwnewch yn siŵr eich bod glanweithio ei, eich bod yn glanhau ei, 594 00:29:21,920 --> 00:29:25,300 eich bod yn gwirio am y pethau cywir, ei fod yn rhoi yr hyn yr ydych chi 595 00:29:25,300 --> 00:29:28,240 am iddo ei roi i chi. 596 00:29:28,240 --> 00:29:32,460 Bob amser yn cael eu diweddaru ar yr hyn y fframweithiau eich bod yn ei ddefnyddio mewn gwirionedd. 597 00:29:32,460 --> 00:29:34,630 Os ydych yn defnyddio rhywbeth fel y cychwyn - 598 00:29:34,630 --> 00:29:36,340 Yr wyf yn gwybod eich guys yn mynd i ddefnyddio y cychwyn oherwydd ei fod yn mynd i fynd 599 00:29:36,340 --> 00:29:38,140 dros hyn yn fuan yn y dosbarth - 600 00:29:38,140 --> 00:29:43,120 a Wordpress neu rywbeth fel 'na, Fel arfer, gallai hyn gael ei hacio. 601 00:29:43,120 --> 00:29:44,770 >> Ac yna nad ydych yn hyd yn oed yn gwybod. 602 00:29:44,770 --> 00:29:45,800 Rydych yn unig yn rhedeg eich gwefan. 603 00:29:45,800 --> 00:29:47,360 Ac mae'n gwbl ddiogel. 604 00:29:47,360 --> 00:29:51,730 A ydych yn mynd i lawr. 605 00:29:51,730 --> 00:29:54,000 Felly, yr wyf i'n pysgota yn gynnar iawn. 606 00:29:54,000 --> 00:29:55,770 Ond yr wyf am ddiolch i Pentest Labs. 607 00:29:55,770 --> 00:29:58,140 Rydw i'n mynd i ddangos i chi guys rhywbeth Gelwir Labs Pentest. 608 00:29:58,140 --> 00:30:05,000 Os ydych guys yn wir ddiddordeb mewn pa sicrwydd mewn gwirionedd, mae yna 609 00:30:05,000 --> 00:30:07,300 gwefan o'r enw Labs Pentest os 'ch guys yn mynd iddo ar hyn o bryd. 610 00:30:07,300 --> 00:30:10,730 O, wel, nid yw ei fod yn. 611 00:30:10,730 --> 00:30:12,030 Im 'jyst yn mynd i redeg fel hyn. 612 00:30:12,030 --> 00:30:14,400 Google yn dweud wrthyf yr ateb. 613 00:30:14,400 --> 00:30:16,590 >> OK. 614 00:30:16,590 --> 00:30:19,030 Ac mae'n dysgu defnyddio chi - felly mae'n dweud, yn dysgu treiddiad y we 615 00:30:19,030 --> 00:30:21,060 profi'r ffordd iawn. 616 00:30:21,060 --> 00:30:23,650 Mae'n dysgu chi - 617 00:30:23,650 --> 00:30:25,150 gobeithio, eich bod yn berson moesegol. 618 00:30:25,150 --> 00:30:29,200 Ond mae'n dysgu chi sut y gallwch chi edrych ar sut y gallwch gael y tu mewn gwefannau. 619 00:30:29,200 --> 00:30:31,130 Ac os byddwch yn dysgu sut y gallwch chi fynd i mewn gwefannau, gallwch ddysgu sut i 620 00:30:31,130 --> 00:30:34,960 amddiffyn eich hun rhag cael gwefannau y tu mewn. 621 00:30:34,960 --> 00:30:39,100 Gadewch i mi chwyddo i mewn oherwydd efallai eich bod guys Nid yw yn edrych ar yr hawl hon. 622 00:30:39,100 --> 00:30:46,350 >> O pigiad SQL i gragen, felly math o sut y gallaf ei gael gan SQL 623 00:30:46,350 --> 00:30:48,530 pigiad i gragen. 624 00:30:48,530 --> 00:30:53,890 A ydych yn llwytho i lawr peiriant rhithwir hwn. 625 00:30:53,890 --> 00:30:55,690 A'r peiriant rhithwir eisoes yn dod gyda'r wefan eich bod yn 626 00:30:55,690 --> 00:30:56,780 yn mynd i roi cynnig arni ar. 627 00:30:56,780 --> 00:30:58,030 Chi lawrlwytho PDF hon. 628 00:30:58,030 --> 00:31:03,610 629 00:31:03,610 --> 00:31:08,370 A bydd yn dangos i chi linell wrth linell beth rhaid i chi ei wneud, yr hyn yr ydych yn gwirio. 630 00:31:08,370 --> 00:31:14,560 Dyma beth ymosodwr mewn gwirionedd yn ei wneud i gael y tu mewn gwefan. 631 00:31:14,560 --> 00:31:15,750 >> Ac mae rhai o'r pethau hyn yn gymhleth. 632 00:31:15,750 --> 00:31:17,520 Byddwn yn hoffi gallu mynd dros fwy pethau gyda chi guys. 633 00:31:17,520 --> 00:31:21,090 Ond yr wyf yn poeni eich bod guys Nid oes mewn gwirionedd - 634 00:31:21,090 --> 00:31:23,090 mae hyn yn beth yr wyf yn mynd drosodd gyda i chi guys, profion ar y we 635 00:31:23,090 --> 00:31:26,830 ar gyfer profi treiddio. 636 00:31:26,830 --> 00:31:33,540 Ddim yn wir yn gwybod beth SQL a beth - 637 00:31:33,540 --> 00:31:35,960 Seminar Carl Jackson yn awesome yn ogystal. 638 00:31:35,960 --> 00:31:37,360 Nid ydych guys yn gwybod fath o'r hyn y mae hyn yn. 639 00:31:37,360 --> 00:31:39,450 Ond os byddwch yn mynd i'r wefan hon, a'ch bod yn lawrlwytho tiwtorialau hyn ac mae'r rhain yn 640 00:31:39,450 --> 00:31:43,290 PDFs, gallwch fwrw golwg ar fath o yr hyn y mae'r ardal o ddiogelwch wir yn 641 00:31:43,290 --> 00:31:46,940 mewn profion treiddio, weld sut y gallwch cael gwefannau y tu mewn ac amddiffyn 642 00:31:46,940 --> 00:31:48,020 eich hun oddi wrtho. 643 00:31:48,020 --> 00:31:56,360 >> Felly os wyf yn gwneud trosolwg cyflym super, bydd yn cael ei atal sgriptio traws-safle. 644 00:31:56,360 --> 00:32:00,160 Ydych am eu defnyddio htmlspecialchars bob amseru mewnbynnau defnyddiwr rhywbeth. 645 00:32:00,160 --> 00:32:01,580 Atal pigiad SQL. 646 00:32:01,580 --> 00:32:04,510 Os byddwch yn gwneud hynny, rydych yn barod well eu byd nag oedd Harvard 647 00:32:04,510 --> 00:32:06,530 pan maent yn cael eu torri. 648 00:32:06,530 --> 00:32:10,510 A gwnewch yn siŵr eich cyfrineiriau nad ydynt mewn testun plaen. 649 00:32:10,510 --> 00:32:16,220 Gwnewch yn siŵr nad ydych yn unig yn un ffordd hash nhw, ond eich bod yn defnyddio crypt, PHP 650 00:32:16,220 --> 00:32:18,670 swyddogaeth yr wyf yn dangos i chi guys. 651 00:32:18,670 --> 00:32:20,060 Yn y ffordd, dylech fod yn dda. 652 00:32:20,060 --> 00:32:25,830 >> Hefyd, os yw eich ffrindiau yn gadael i chi, yn rhedeg SQL Chwistrellu Me ar eu gwefannau. 653 00:32:25,830 --> 00:32:28,140 Rhedeg sgriptio traws-safle ar eu gwefannau. 654 00:32:28,140 --> 00:32:33,720 A byddwch yn gweld llawer o'r gwefannau hyn cael tunnell o agored i niwed. 655 00:32:33,720 --> 00:32:40,400 Mae'n anhygoel faint o bobl yn anghofio i glanweithio eu cronfeydd data neu i wneud 656 00:32:40,400 --> 00:32:46,340 siŵr beth mewnbynnu y person Nid yw cod script. 657 00:32:46,340 --> 00:32:47,200 OK. 658 00:32:47,200 --> 00:32:49,182 Yr wyf yn fath o ddod i ben yn gynnar iawn. 659 00:32:49,182 --> 00:32:56,510 Ond os oes gan unrhyw un unrhyw gwestiynau am unrhyw beth, gallwch saethu cwestiwn i mi. 660 00:32:56,510 --> 00:32:56,630 Yeah. 661 00:32:56,630 --> 00:32:56,970 Ewch, ewch. 662 00:32:56,970 --> 00:32:59,846 >> GYNULLEIDFA: Fi jyst am ofyn, a allwch esbonio sut y ffeil 663 00:32:59,846 --> 00:33:03,160 llwytho gwaith yn union. 664 00:33:03,160 --> 00:33:03,480 >> LUCIANO Arango: Yeah. 665 00:33:03,480 --> 00:33:06,350 Felly, gadewch i mi yn dangos i chi y ffeil llwytho i fyny go gyflym. 666 00:33:06,350 --> 00:33:11,300 Felly mae'r llwytho i fyny ffeil - 667 00:33:11,300 --> 00:33:14,500 y broblem ffraethineb y llwytho i fyny ffeil ar hyn o bryd yw bod - 668 00:33:14,500 --> 00:33:18,541 Rydw i'n mynd i agor y cod er mwyn i chi guys weld y cod y tu ôl i'r llenni. 669 00:33:18,541 --> 00:33:22,390 670 00:33:22,390 --> 00:33:24,305 Ac mae'n cael ei llwytho i fyny. 671 00:33:24,305 --> 00:33:28,030 672 00:33:28,030 --> 00:33:31,560 Dyma cod ar gyfer y uploader ffeil. 673 00:33:31,560 --> 00:33:33,980 >> Rydym yn ceisio i fynd i mewn i hyn cyfeiriadur dros yma. 674 00:33:33,980 --> 00:33:37,380 675 00:33:37,380 --> 00:33:44,880 Ac rydym yn ceisio, ar ôl i ni mewnbwn y ffeil, ffeil ISSET - felly pan fydd 676 00:33:44,880 --> 00:33:50,900 ffeilio yn FILES, y ddelwedd, yna rydym yn ceisio ei symud yma. 677 00:33:50,900 --> 00:33:51,910 Rydym yn chrafangia 'r ffeil dros yma. 678 00:33:51,910 --> 00:33:58,350 Mae'r dull yn POST, math, delwedd, ffeil. 679 00:33:58,350 --> 00:33:59,630 Ac rydym yn anfon y ffeil. 680 00:33:59,630 --> 00:34:03,910 Ac yna ar ôl i ni ei gael, felly unwaith ffeil Mae delwedd, rydym yn ceisio ei hanfon 681 00:34:03,910 --> 00:34:05,060 i'r cyfeiriadur. 682 00:34:05,060 --> 00:34:09,814 >> Y broblem yw nad yw'r wefan yn adael i mi fynd i'r cyfeiriadur, 683 00:34:09,814 --> 00:34:12,239 oherwydd nad yw'n am i mi fynd yn ôl. 684 00:34:12,239 --> 00:34:13,489 Nid yw'n am i mi i fynd - 685 00:34:13,489 --> 00:34:15,620 686 00:34:15,620 --> 00:34:17,070 Rhaid i mi fynd - wedi llwytho i fyny hynny yma. 687 00:34:17,070 --> 00:34:17,639 Dyma delweddau. 688 00:34:17,639 --> 00:34:21,780 Rhaid i mi fynd yr holl ffordd yn ôl i'r dechrau a'i roi yn y fan a'r lle 689 00:34:21,780 --> 00:34:23,820 mynd ac yn ei roi i mewn i'r cyfeiriadur. 690 00:34:23,820 --> 00:34:30,000 Felly os oeddwn yn rhedeg ffenest terfynell, ac roeddwn i eisiau symud ffeil - 691 00:34:30,000 --> 00:34:30,409 [Anghlywadwy] 692 00:34:30,409 --> 00:34:32,159 ei weld. 693 00:34:32,159 --> 00:34:37,940 Os wyf eisiau symud ffeil, rwyf wedi i roi enw'r ffeil ac yna 694 00:34:37,940 --> 00:34:40,860 llwybr cyflawn wyf am ei anfon at. 695 00:34:40,860 --> 00:34:45,110 >> Ac yna nid yw'r gweinydd yn adael i mi fynd yn ôl. 696 00:34:45,110 --> 00:34:46,929 Ac felly nid yw'n gosod i mi fynd i'r ffeil. 697 00:34:46,929 --> 00:34:47,670 Ond fel arfer - 698 00:34:47,670 --> 00:34:49,360 felly mae cod ar gyfer lanlwytho ffeil. 699 00:34:49,360 --> 00:34:52,260 Felly, fel arfer yn beth fydd yn digwydd yw bod y Nid yw person wedi gwirio os bydd fy ffeil 700 00:34:52,260 --> 00:34:57,920 dod i ben gyda. jpeg, felly yr wyf yn fyddai eisiau i wirio. 701 00:34:57,920 --> 00:35:00,054 Gadewch i mi agor enghraifft yn rhy go gyflym. 702 00:35:00,054 --> 00:35:07,766 703 00:35:07,766 --> 00:35:08,260 >> OK. 704 00:35:08,260 --> 00:35:09,230 Mae'r person cywir - 705 00:35:09,230 --> 00:35:11,980 felly er enghraifft dau yn gwirio os preg_match - 706 00:35:11,980 --> 00:35:14,180 dyma ei fod yn dros yma - 707 00:35:14,180 --> 00:35:19,660 i wneud yn siŵr sy'n dod i ben gyda PHP, sy'n dda. 708 00:35:19,660 --> 00:35:20,580 Mae hyn yn dda. 709 00:35:20,580 --> 00:35:22,820 Ond mae 'na fawr go iawn broblem gyda hyn. 710 00:35:22,820 --> 00:35:24,600 Mae hyn yn dda. 711 00:35:24,600 --> 00:35:44,190 Ond pe bawn yn rhoi ffeil o'r enw myfavoritepicture.php.jpeg, gallwn 712 00:35:44,190 --> 00:35:50,060 dal i fod yn bosibl cael gwared ar y jpeg ac yn rhedeg it.k Bod PHP yn beryglus. 713 00:35:50,060 --> 00:35:53,850 Dydych chi ddim am i'r person allu i redeg cod ar eich gwefan. 714 00:35:53,850 --> 00:35:55,750 >> Ond yna. Jpeg gadael iddo fynd heibio. 715 00:35:55,750 --> 00:36:00,720 Y syniad yw hyn yr ydych wir eisiau ei wneud nid yw'n cymryd ffeil, A. Ond, OK, beth 716 00:36:00,720 --> 00:36:07,500 ydych wir eisiau ei wneud yw sicrhau bod eich bod yn darllen dros y byd i gyd. 717 00:36:07,500 --> 00:36:08,720 A does dim byd. Php ynddo. 718 00:36:08,720 --> 00:36:10,500 Does dim php yn y. enw ffeil gyfan. 719 00:36:10,500 --> 00:36:12,780 >> GYNULLEIDFA: Ond gallech rhoi. jpeg ar y diwedd. 720 00:36:12,780 --> 00:36:15,830 Mae'r gweinyddwyr yn dal i redeg y cod. 721 00:36:15,830 --> 00:36:16,870 >> LUCIANO Arango: Na, ni fydd yn rhedeg ar y dechrau. 722 00:36:16,870 --> 00:36:22,310 Rhaid i chi fynd yn ôl a cheisio i weld os gallwch - 723 00:36:22,310 --> 00:36:24,210 >> GYNULLEIDFA: Felly mae'n rhaid i ni - 724 00:36:24,210 --> 00:36:26,020 OK, dim ond set arall sy'n cynnwys - 725 00:36:26,020 --> 00:36:26,936 >> LUCIANO Arango: Yeah. 726 00:36:26,936 --> 00:36:29,230 >> GYNULLEIDFA: OK. 727 00:36:29,230 --> 00:36:31,486 >> LUCIANO Arango: Yeah. 728 00:36:31,486 --> 00:36:31,900 OK. 729 00:36:31,900 --> 00:36:32,865 Unrhyw gwestiynau eraill? 730 00:36:32,865 --> 00:36:33,180 OK. 731 00:36:33,180 --> 00:36:37,350 Rydw i'n mynd i adael hyn i fyny a threfnu o ceisio gweld os gallwch chi guys - 732 00:36:37,350 --> 00:36:40,490 y rhai eraill yn ychydig yn fwy cymhleth oherwydd eu bod angen llawer o 733 00:36:40,490 --> 00:36:44,050 mwy o SQL gwybodaeth na dim ond y ddechrau gwybodaeth am SQL we yn a 734 00:36:44,050 --> 00:36:47,010 beth JavaScript. 735 00:36:47,010 --> 00:36:49,730 Ond dw i'n mynd i geisio cadw hyn i fyny, a gobeithio y byddwch yn guys yn dysgu 736 00:36:49,730 --> 00:36:53,230 am hyn ac yn ceisio cymryd cipolwg ar beth y gallwch ei wneud a sut llawer o enghreifftiau 737 00:36:53,230 --> 00:36:54,420 y gallwch ei gael drwy. 738 00:36:54,420 --> 00:36:56,020 >> Dylai unrhyw un yn cael unrhyw un arall gwestiynau am y peth? 739 00:36:56,020 --> 00:36:59,387 740 00:36:59,387 --> 00:37:00,350 Fynd yn ei flaen. 741 00:37:00,350 --> 00:37:01,170 Yeah, saethu, saethu. 742 00:37:01,170 --> 00:37:01,580 Yeah, mynd yn ei flaen. 743 00:37:01,580 --> 00:37:01,850 Fynd yn ei flaen. 744 00:37:01,850 --> 00:37:02,310 >> GYNULLEIDFA: OK. 745 00:37:02,310 --> 00:37:08,870 Felly, yr wyf wedi clywed am sut Dyfyniadau Hud nid ydynt yn ddigon cadarn. 746 00:37:08,870 --> 00:37:09,280 >> LUCIANO Arango: Beth - 747 00:37:09,280 --> 00:37:10,110 Dyfyniadau hud? 748 00:37:10,110 --> 00:37:10,595 >> GYNULLEIDFA: Yeah. 749 00:37:10,595 --> 00:37:15,445 Felly, mae'n ychwanegu - felly pryd bynnag y byddwch mewnbwn rhywbeth, mae bob amser yn ychwanegu dyfyniadau. 750 00:37:15,445 --> 00:37:15,930 >> LUCIANO Arango: Yeah. 751 00:37:15,930 --> 00:37:16,000 Yeah. 752 00:37:16,000 --> 00:37:16,496 OK. 753 00:37:16,496 --> 00:37:19,113 >> GYNULLEIDFA: Ac yna mi er oedd yn gweithio, ond yna yr wyf yn chwilio i fyny. 754 00:37:19,113 --> 00:37:21,648 Ac mae'n dweud nad ei fod yn dda. 755 00:37:21,648 --> 00:37:23,050 Ond dydw i ddim yn siŵr pam. 756 00:37:23,050 --> 00:37:23,360 >> LUCIANO Arango: Yeah. 757 00:37:23,360 --> 00:37:26,240 >> GYNULLEIDFA: Peidiwch â defnyddio Dyfyniadau Hud, gan nad yw'n ddiogel. 758 00:37:26,240 --> 00:37:26,360 >> LUCIANO Arango: OK. 759 00:37:26,360 --> 00:37:31,735 Dyfyniadau Felly Magic yw pan fyddwch yn mewnosod SQL ac mae eisoes yn ychwanegu y dyfyniad i chi. 760 00:37:31,735 --> 00:37:33,520 >> GYNULLEIDFA: Mae bob amser yn ychwanegu dyfyniadau o gwmpas beth bynnag yr ydych yn rhoi i mewn 761 00:37:33,520 --> 00:37:34,210 >> LUCIANO Arango: Yeah. 762 00:37:34,210 --> 00:37:37,190 Felly, y broblem gyda hynny yw bod - 763 00:37:37,190 --> 00:37:38,445 'N annhymerus' yn edrych ar - 764 00:37:38,445 --> 00:37:41,390 >> GYNULLEIDFA: Sut mae'n caffael y datganiad SQL? 765 00:37:41,390 --> 00:37:44,690 Neu Amcana gallai fod yn fel dyfyniad dewis. 766 00:37:44,690 --> 00:37:49,030 >> LUCIANO Arango: Yeah, mae angen i chi dyfyniadau da ar gyfer y SQL. 767 00:37:49,030 --> 00:37:52,900 >> GYNULLEIDFA: Nac oes, ond y gweinydd yn gwneud hynny ar eich rhan. 768 00:37:52,900 --> 00:37:54,460 >> LUCIANO Arango: Mae'r rhain dyfyniadau bach i'r dde yma, dyfyniadau bach hyn? 769 00:37:54,460 --> 00:37:55,670 >> GYNULLEIDFA: Yeah. 770 00:37:55,670 --> 00:37:56,450 >> LUCIANO Arango: Yeah. 771 00:37:56,450 --> 00:37:59,860 Y broblem yw eich bod yn gallu sylwadau ar yr olaf - 772 00:37:59,860 --> 00:38:05,770 Iawn, felly beth y gallaf ei wneud yw allaf wneud sylwadau allan - felly gadewch i ni edrych ar - gadewch i mi 773 00:38:05,770 --> 00:38:07,920 agor ffeil golygu testun. 774 00:38:07,920 --> 00:38:09,610 Gadewch imi golygu'r i'r dde yma yn uniongyrchol. 775 00:38:09,610 --> 00:38:19,510 776 00:38:19,510 --> 00:38:20,400 OK. 777 00:38:20,400 --> 00:38:23,710 Allwch chi guys yn gweld bod yn glir? 778 00:38:23,710 --> 00:38:29,730 Yr hyn y gallaf ei wneud yw allaf roi sylwadau y cafodd yr un olaf. 779 00:38:29,730 --> 00:38:32,190 Bydd hyn yn rhoi sylwadau ar y un diwethaf. 780 00:38:32,190 --> 00:38:36,760 Ac yna byddaf yn rhoi un yma, rhowch holl bethau maleisus yma. 781 00:38:36,760 --> 00:38:39,840 782 00:38:39,840 --> 00:38:42,630 >> Felly, y defnyddiwr mewn gwirionedd mewnbynnu, dde? 783 00:38:42,630 --> 00:38:45,230 Nad yw'r defnyddiwr wedi mewnbynnu y pethau, dde? 784 00:38:45,230 --> 00:38:47,430 Mae hyn yn hyn yr wyf i'n mynd i gyfrannu fel y person sy'n ceisio cael y tu mewn. 785 00:38:47,430 --> 00:38:49,430 Rydw i'n mynd i roi i mewn - 786 00:38:49,430 --> 00:38:59,290 787 00:38:59,290 --> 00:39:00,180 dyna un marc dyfynbris. 788 00:39:00,180 --> 00:39:01,760 'I' jyst squiggly drwy gamgymeriad. 789 00:39:01,760 --> 00:39:15,080 790 00:39:15,080 --> 00:39:19,400 Ac yna yr hyn y mae'r cod yn mynd i'w wneud - 791 00:39:19,400 --> 00:39:20,190 ddrwg gennym, dw i'n mynd i gymryd hyn allan. 792 00:39:20,190 --> 00:39:22,170 Beth mae'r cod yn mynd i wneud yw mae'n mynd i ychwanegu'r cyntaf 793 00:39:22,170 --> 00:39:24,030 dyfynbris marciau yma. 794 00:39:24,030 --> 00:39:26,040 Ac mae'n mynd i ychwanegu'r olaf dyfynnod hefyd. 795 00:39:26,040 --> 00:39:29,350 796 00:39:29,350 --> 00:39:33,270 >> Ac mae hefyd yn mynd i ychwanegu'r ddiwethaf dyfynnod diwethaf,. 797 00:39:33,270 --> 00:39:37,380 Ond dw i'n gwneud sylwadau hyn dyfyniad yn nodi allan, felly nid ydynt yn rhedeg. 798 00:39:37,380 --> 00:39:41,440 A dwi'n gorffen dyfyniad hwn nodi dros yma. 799 00:39:41,440 --> 00:39:42,290 Ydych chi'n deall? 800 00:39:42,290 --> 00:39:43,750 Wyt ti ar goll? 801 00:39:43,750 --> 00:39:45,880 Gallaf roi sylwadau y dyfyniad diwethaf marcio, ac yn gofalu am y 802 00:39:45,880 --> 00:39:46,680 marc dyfyniad cyntaf. 803 00:39:46,680 --> 00:39:47,350 >> GYNULLEIDFA: A gorffen yn unig yr un cyntaf. 804 00:39:47,350 --> 00:39:47,480 >> LUCIANO Arango: Yeah. 805 00:39:47,480 --> 00:39:48,400 Ac yn union orffen yr un cyntaf. 806 00:39:48,400 --> 00:39:48,790 Yeah, mae hynny'n iawn. 807 00:39:48,790 --> 00:39:50,800 Dyna beth y gallaf ei wneud. 808 00:39:50,800 --> 00:39:51,890 Yeah. 809 00:39:51,890 --> 00:39:52,980 Unrhyw gwestiynau eraill fel 'na? 810 00:39:52,980 --> 00:39:54,230 Dyna gwestiwn mawr. 811 00:39:54,230 --> 00:39:56,960 812 00:39:56,960 --> 00:39:59,790 Na, ie, efallai. 813 00:39:59,790 --> 00:40:06,150 Gobeithio, byddwch yn guys fath o wneud mwy o synnwyr pan fyddwch yn astudio SQL a 814 00:40:06,150 --> 00:40:06,650 pethau fel 'na. 815 00:40:06,650 --> 00:40:07,980 Ond gwnewch yn siŵr eich bod - 816 00:40:07,980 --> 00:40:10,340 cadw offer hyn yn gwylio. 817 00:40:10,340 --> 00:40:12,760 Mae'n ddrwg gennym, offer hyn dros yma. 818 00:40:12,760 --> 00:40:14,200 Mae'r offer hyn yn wych. 819 00:40:14,200 --> 00:40:17,190 Os oes gan unrhyw un unrhyw gwestiynau, gallwch hefyd e-bost ataf. 820 00:40:17,190 --> 00:40:19,020 Mae hyn yn fy e-bost arferol. 821 00:40:19,020 --> 00:40:25,015 Ac mae hyn yn fy e-bost gwaith, sy'n yw pan fyddaf yn gweithio yn MOROEDD. 822 00:40:25,015 --> 00:40:26,040 >> OK, diolch. 823 00:40:26,040 --> 00:40:26,740 Ddiolch, guys. 824 00:40:26,740 --> 00:40:27,860 Rydych yn dda i fynd. 825 00:40:27,860 --> 00:40:28,830 Nid oes rhaid i chi aros yma. 826 00:40:28,830 --> 00:40:29,570 Peidiwch â glapio. 827 00:40:29,570 --> 00:40:30,170 Dyna 'n annaearol. 828 00:40:30,170 --> 00:40:31,420 OK, diolch, guys. 829 00:40:31,420 --> 00:40:32,320