LUCIANO ARANGO: Ados, mutilak. Nire izena Luciano Arango da. Adams House sophomore bat naiz. Eta ari gara buruz hitz egiten joan web segurtasun defentsa aktiboa. Beraz Informazio Bulegoan lan egiten dut SEAS segurtasun. Eta udan zehar, interned dut SeguraTec, zein informazio bat izan zen segurtasun enpresa zerbitzatzen Columbia bankuak ere. Hori da, batez ere, bertan ikasi nuen dut zer, orain arte ikasi. 

Eta, beraz, material hori gara batzuk gaur egun baino gehiago joan da joan, ez dugu benetan hitz egin buruz klasean. Baina laster egingo dugu. Honez SQL, Javascript bezala izango da. Eta ez dugu benetan baino gehiago desagertu. Beraz, hegaldiaren dezadan ordenatzeko horren bidez, eta agian ez duzu gauza batzuk ezagutzen. Baina laster, bertan ikasiko duzu. Eta guztia egingo du zentzurik. Halaber, beste gauza bat - lo etikoak. Ikasten duzun gauza batzuk, zuk litezke modu ez etikoak erabiltzeko. 

Zurea bada, behin betiko saiatu. Zalantzarik motibatzea dut you guys Zure zerbitzarien propioa saiatu, saiatu Horien barruan. Ikusiko duzu horiek barneratzeko bada, horien barruan lortu ahal izango duzu. Baina ez du inork egin. Polizia ez benetan txantxak gustatzen eta osoa, hau jarri dugu hemen. Inguruan aldatzeari ginen. Benetan haserretu dute. 

Beraz buru Webgune honetara. Hementxe ireki behar dut. Hau webgune bat da, eta horri Adibide mordo bat dauka. Zer gertatzen da lehen adibidea sort asko errazagoa izango da zentzu batean azken adibidea baino duten lehen adibidea erabat segurua ez da. Eta azkena moduko zer da web segurtasun normal pertsona egingo lukeen. Baina oraindik ordenatu ahal duzun dela mugitu. Eta bat bideratua goaz eta bi, adibide bat eta bi. 

Ados. Hasteko cross-site scripting Dezagun. Ikusteko Javascript-a exekutatu dagoenean bezeroaren nabigatzailean. Da erabiltzen duzun programazio hizkuntza bat da izateko bezeroaren nabigatzaileak abar run ez duzu web eguneratzeko eta joan zerbitzariari bizkarrean. Exekutatzen duzu. Adibidez, Facebook, ez duzu Estatus berrirako webgunean birkargatu eguneratzerik etorri. Ikusteko Javascript-a da erabiliz sortu gauza horiek guztiak. Beraz, injektatu ahal izango dugu, asmo txarreko JavaScript webgune sartu. Eta, era horretan, esteka bat bidaliko dugu Norbaitek, ordenatzeko genezake bidali berarekin nahi dugun kodearen batzuk. 

Ez dago iraunkorrak eta ez-iraunkorrak Ikusteko Javascript-a - iraunkorrak eta ez iraunkorrak gurutze-gune scripting, esan nahi dut. Eta diferentzia iraunkor duten izatearen Ikusteko Javascript-a izango da da web orrian gorde. Eta ez-iraunkorrak JavaScript izango da benetan gertatuko behin. Hargatik adibide bat bilatzeko benetako azkar. 

Ados. Beraz, web orri honetan, simple, ez da ezer gertatzen hemen. Eta ari gara saiatzen joan txertatzeko JavaScript batzuk. Beraz, modu idazten hasi egiten dugu JavaScript da hasten hasieran gidoi dugu. Eta itxi dugu gidoi batekin. Besterik gabe ari gara Mezu bat jarri nahi dut - Erakutsi dut - Alerta. Alerta funtzio bat dela JavaScript zerbait erakusteko erabiltzen duen. Beraz dezagun saiatuko benetako azkar. Dut alerta kaixo joango gara,. Beno, jarri ahaztu dut - Ados. Beraz, hori da erraza. 

Ikusteko Javascript-a jarri dugu web orri baten gainean, eta sortu da etorri. Eta hura ordenatzeko bakarrik gertatzen Gure web orrian, ezta? Beraz, badirudi ez bezala arazo bat, ezta? Esan nahi dut, nola izan erabiltzen duzun honen asmo txarrez? Beraz, modu hacker hori egin hau oso sinplea da. Hura hartzen ari dira. Lotura hau bidali ahal dizute. Bidaltzen bada dut esteka honetan duzu oraintxe bertan, eta beraz, ireki duzu, nik joan behar esateko, kaixo, esanez nire web dagoela diozu kaixo. 

Eta, beraz, zerbait esateko banintz Pixka smarter, tira badut bat JavaScript funtzio mota I dagoeneko idatzi - baina begiratzen baduzu ere, egingo dut joan gehiagoko hura idatzi nuen aurretik. Beraz, denbora-muga bat ezarri nahi du. Arte itxaron goaz Pare bat segundo. Izan ere, itxaron goaz, bada Ez dut oker, bost segundora. Hau milisegundotan doa. Eta gero, zer egin behar dugu, ez gara egiteko ohartarazi egingo duten saio-hasiera denboraz kanpo berriz sartzeko sartu Eta ari gara kokapena aldatuko beste kokaleku batean. 

Beraz, web orri hau bidali dut norbait bada, izan ari dira joan inguruan arakatuz, lasaia. Ezer ez gertatzen. Eta bost segundotan, joan da beharrik ez, zure saio denboraz kanpo. Mesedez sartu berriz sartu Behin sakatu dute OK, noa joan eraman beste web batekin. Ustezko, webgunean joan den webgunearen antzekoa izango duten lehenago hasi ziren. Eta ari dira saioa gertatzen beren nire webgunean ordez sartu kredentzialak beren webgunean. 

Eta horrela dut pertsona bat bidali ahal link honekin email. , Esan dut, oh, hemen lotura bat da. Hau banku bat da, adibidez. , Esan dut hemen, esteka honetan joan. Eta behin bidaliko dira, ari dira be inguruan arakatuz joan. 15 segundo, 20 segundo, ezin dut itxaron, eta ondoren, pop mesedez sartu berriz berez sinatzeko bizkarrean. Zaudete bertan dastatu ahal izango dituzten gauza asko gehiago. Honez konplikatu you guys delako ez dute ikusi JavaScript, beraz dezakezu ez funtzio batzuk ezagutu. Baina guztiak egin behar duzun da Irteeran gidoi batekin, gidoia bukatzen. Eta ezer jarri ahal izango duzu erdian. 

Alerta funtzio bat da, itxaron. Leiho kokapena zaitu kokaleku berri bat. Baina askoz gehiago egin dezakezu, beraz. Eta, beraz, ideia hau da hori hartuko dugu off. Joaten naiz bi adibide nahi izanez gero, eta nik kode hori bera jarri, hura da ez da lanera joan. Beraz, guztia inprimatzeko it out delako Web gune honetan zer jatorriz ez da ezer jarri dut hemen, inprimatu egingo itzazu hemen. Beraz, ez da ezer inprimatzeko. Adibide honetan benetan egiaztapena script bada ez ikusteko. Beraz, bai, aurrera. Galdetu. 

AUDIENCE: Ezta bidaltzea bat lortzeko edo bidaltzeko eskaera? 

LUCIANO ARANGO: Bai. Oraindik dute get eskaera bat bidaliz. 

AUDIENCE: Da? 

LUCIANO ARANGO: Bai. Halaber nabigatzaile post eskaerak erabili. Baina get eskaerak erakusten saiatzen ari naiz beraz, zer den ikusi ahal izango dugu benetan gertatzen ari da. Eta horrela begiratzen dugu kode hau bada - beraz, ez da jada lanean. Eta kode honetan begirada bat hartzen badugu, nik bi adibide izango da. Zer pertsona hori egiten ari da, pertsonaren nabigatzaileak horren arduradunak - ireki, OK - hitza gidoia ordezkatuz. Hau PHP da, eta horrek asko guys agian ikusi dute pixka bat oraindik. 

Baina besterik ez ordez Hitz izenarekin gidoi. Beraz, hala ere, aurretik joan badut eta besterik jarri - hartzen badut nire kodea berriro, eta noa da pixka bat aldatzeko. Gidoiaren ordez, naiz aldatu egingo dut kapital bat R. Eta batera Script kode honetan lan egiten bada ikusteko goaz. Beraz, ez da inprimatu, eta hori seinale ona da. Eta, zorionez, bi segundo gehiago, Da agertuko da joan. 

Zure saio denboraz kanpo. Ados. Hori da dena eskubidea. Beraz, gidoi egiaztapena agian ez du zertan lan egin. Pertsona - daiteke ere gidoi maiuskulaz egiaztatu, gidoi minuskulaz, str kasu alderatu, ziurtatu bera ari dira. Baina hacker oraindik ere egin daiteke, zer moduko egin Vigenere in dugunean mugitu dugu itzuli pare bat pertsonaiak, aurrera. Eta irudikatu ezazu gidoi nola jarri atzera so injektatu daiteke bertan script hori. 

Beraz, zein erabili nahi duzun htmlspecialchars da Zure web babesteko. Eta hau ez da egiten zer jarri duzun ziur - adibidez, aipuak edo honen - baino baino handiagoa edo gutxiago zerbait ordezkatu hori ez dela - utzi hemen gerturatzeko me - Benetako ampersand. HTML berezi horiek ordeztu egingo du duten ikusiko dugu eta gara pertsonaiak buruz hitz egiten - oh, hau da niretzat hartu atzera egingo - Pertsonaia horiek hemen. 

Horiek adierazten duten zerbait da datozen. HTML, hasieratik parentesi horretarako kontatzen digu zerbait HTML erlazionatutako coming. Eta hori kendu nahi dugu. Ez dugu HTML jarri bat sartu nahi website.k Ez dugu nahi erabiltzaileari izango zerbait jarri dute euren webgunean gai beren web eragina izan dezake, atsegin gidoi edo HTML edo horrelako zerbait. Zer da garrantzitsua da duzula sanitize erabiltzailearen sarrera. 

Beraz, erabiltzaileek may sarrera gauza askotan. Sarrera stuff sorta bat saiatu, ahal zuen Zure nabigatzaileak engainatu oraindik sartu gidoi kode hau martxan. Zer egin nahi duzun ez da bakarrik itxura gidoi, baina dena bilatzeko maltzurren izan daiteke. Eta htmlspecialchars egingo duten beraz zuk ez duzu kezkatu. Baina ez saiatu egin bakarrik Sort propioak kodearekin. Denek XSS on argi dago? 

Ados. Goazen SQL injekzio en. Beraz SQL injekzio da seguruenik ahultasun zenbaki bat webgune ezberdinetan. Esan nahi dut, adibide ona - I besterik ez zuten jotzeko ikertzen Gauza honetarako. Eta awesome artikulu hau aurkitu dut non Harvard duten urratu zen ikusi nuen, hacked. Eta, galdetzen ari nintzen, bai, nola egingo dute? Harvard da gehien awesome da, gehienetan ziurtatzeko unibertsitatea inoiz. Ezta? Beno, zerbitzariak urratzen, hacker erabiltzen a Teknika SQL injekzio deritzo. 

Beraz, hau egunez egun batean gertatzen da. Jendeak ahaztu kontuan hartzeko SQL injekzio jartzeko. Harvard du. Hemen dio, Princeton, uste dut, Stanford, Cornell. Beraz, nola egiten dugu - beraz, zer SQL hau da injekzio hori jarriz horiek guztiak Jende behera? Ados. Beraz SQL programazio hizkuntza bat da hori datu-base sartzeko erabiltzen dugu. Zer egiten dugu hautatu dugu - beraz, zer hau, oraintxe bertan irakurtzen da hautatu mahai guztia. 

SQL, aldatzen datu-base horietan sartu da duten informazio osoa mahaiak dituzte. Beraz hautatu guztia erabiltzaileen non izena username da. Ezta? Simple nahikoa. SQL injekzio ideia da dugun kode mingarria batzuk txertatu zela engainatu zerbitzariari zerbait exekutatzen sartu zer baino desberdina jatorriz exekutatzen zen. Beraz, demagun erabiltzaile izena, jarri dugu edo 1 berdin 1. Beraz jarri dugu edo 1 berdin 1. Bide batez, orain irakurriko luke hautatu izango da erabiltzaileek, dena aurrera erabiltzaile - hau dena da - non izen username da, baina Erabiltzaile izen da edo 1 berdin 1. 

Beraz, ezer ez da izen edo 1 berdin 1. 1 berdinen 1 beti da egia. Beraz, hau izango da beti informazio itzultzeko Erabiltzaile hauei. Ados. Ez dugu behar behar du erabiltzaile-izen zuzena. Besterik ez dugu ezer nahi dugun, eta informazioa emango du behar ditugu. Dezagun beste adibide bat dira. 

Dena hautatu dugu bada erabiltzaileari, non izen DROP TABLE erabiltzaile da - beraz, zer uste duzu borondate hau egin dut jarri erabiltzaile-izen batean bada DROP TABLE erabiltzaile gisa? Inor ideia bat? Bai. 

AUDIENCE: Honez kontatzeko joan mahai guztiak irauli da. 

LUCIANO ARANGO: Honez digute joan Webgunean guztia irauli, basean guztia. Eta jendeak erabiltzeko honetan - beraz You guys erakusteko noa. Taulak jaregiten desgaituta dut delako ez dut nahi duzu guys nire taulak askatu. Ikus dezagun begirada bat. Beraz, hau, besterik gabe, informazio tira sortu jakin bat pertsona. Beraz, nola ez badakigu hau bada Kaltetutako SQL injekzio bidez. Benetako azkar check goaz dugu zerbait jarri ahal izanez gero - utzi kode hau kopiatu zidan. Bigarren batean gainean joan noa. Erroa jarri noa eta 1 berdin 1. 

Hau hemen, hau ehuneko zeinu 23 - da benetan zer den, badut hementxe begiratu at - Bide HTML zenbakiak hartzen du, zuk denean jarri dut espazio batean begirada bat hartu Hemen - ziren I espazioa zerbait bada Hemen, hura aldatzen da ehuneko 2. Do you guys ikusi hau hementxe denean jarri dut espazio batean? Horrela funtzionatzen da soilik duzula ASCII balioak bidali HTML bidez. Beraz ordezkatzen du, adibidez, 20 ehuneko dituzten espazio bat. Ez dakit baduzu guys ikusi dute horren aurretik. 

Ehuneko 23 batekin hashtag bat ordezkatzen du. Hashtag bat behar dugu amaieran edo, adierazpena da, beraz, esan ahal dugu database ahaztu itzazu iruzkinak egiteko amaieran azken puntu eta koma hau. Hura ez dela pentsatu nahi dugu. Besterik ez dena exekutatu nahi dugu aldez aurretik dugula eta iruzkin hori. Ikus dezagun begirada bat. 

Beraz, zerbait gaizki jarri banintz - demagun adibidez, 2 berdinen jarri dut 1, ez du ematen dit ezer. Noiz jarri dut 1 in berdin 1, eta gertatzen zerbait itzultzeko, hau esaten dit hau da zaurgarria SQL injekzio bat. Gaur egun ezagutzen dut hori edozein dela ere Jarri honen ondoren I - eta adibidez, DROP TAULAK edo horrelako zerbait behin betiko egingo du lan. Badakit SQL injekzio zaurgarria da Badakit hori delako kanpaia azpian, izan dezazun ezazu egin dit 1 berdinen 1 gauza. OK? 

Eta begiratzen dugu beste hauek kontuan hartuz gero, kopurua bi eta hiru zenbaki, ez da pixka bat gehiago egin da joan egiaztapena azpian zer den kanpaia. Beraz, edonork beherakada gaitu ezer oraindik edo saiatu? Ez duzu guys moduko lortu SQL oraindik? Dakit zeren asko guys ez dute oraindik ikusi da, beraz, mota horretako da you guys nahasgarria. Ikus dezagun begirada bat. Beraz, zein da bidea SQLI saihesteko? Ados. Beraz, hau da benetan garrantzitsua duzulako guys betiko debekatu nahi Kokapen hau zure web. 

Hala ez bada, zure lagun guztiak daude joan denean guztiak askatu dute barre egiteko duzun Zure mahaiak. Beraz, ideia da SQL konpondu duzula modu jakin batean, dator berriz zer Erabiltzaileak dituzten input kate jakin bat. Beraz, obra hau da zuk datu-basea prestatzen. Izena, kolorea eta kaloria hautatzean fruta izeneko datu-base batetik. Eta gero non kaloria baino txikiagoa da; eta galdera-marka bat jarri dugu bertan sarrera goaz esanez bigarren batean zerbait. 

Eta kolore berdin, eta galdera bat jarri dugu marka esaten goaz joan sarrera bigarren batean zerbait baita. OK? Eta, ondoren, hura exekutatzeko dugu, jarriz 150 eta gorriz. Eta hau egin arakatuko ditu Ziur bi horiek - array honek egiaztatu egingo duten horiek bi zenbaki oso bat, eta are hori katea da. Ondoren, joan gara eta eskuratu dugu guztiak, jarri dugu gorriz. Esan nahi duen guztia eskuratu dugu. Esan nahi du benetan SQL exekutatu dugu adierazpen eta jarri back gorriz. Hemen bera egiten dugu, baina ez dugu bera egin horia da. Eta guztiak eskuratu dugu. 

Eta modu horretan, erabiltzaileak saihesteko dugu sarrerako zerbait gai izatetik hori ez da zer egiten dugun zehaztu, katea edo zenbaki oso bat, adibidez. Lehenago aipatzen ari nintzen besteen konfiantza. When you guys zure proiektua hasteko, zu behin betiko erabili joan bootstrap edo antzeko zerbait. Duzu guys inoiz erabili Wordpress? Seguruenik duzu guys erabili dute Wordpress ziurrenik. Beraz erabiliz arazoa besteen gauzak - Besterik ez naiz Google benetako azkar joan Wordpress ahultasun. 

Hau zabaltzen dut bada oraintxe bertan - Literalki bat bigarren bi Google nuen. Ikusten den Wordpress duten - hau da irailaren '12 bezala datatua. 26 eguneratzen da. Wordpress konfigurazio lehenetsia lehenago 3,6 ez du horiek zenbait igoerak, eta horrek agian errazagoa da cross-site scripting erasoak. Beraz, istorio azkar bat, behin lanean ari ginen batera -, beraz, izan dut udan, bat lanean praktikak. Eta moduko batekin ari ginen lanean kreditu txartelaren big enpresa bat bezala. 

Eta fidatu zerbait deitzen dute - Ez dakit asko guys inoiz jokatu bada Joomla izeneko produktu batekin. Joomla erabiltzen den produktu bat kontrol - moduko antzeko Wordpress, webgune eraikitzeko erabiltzen. Beraz, bere web-orria izan zuten Joomla lanean. Hau da, benetan, kreditu-txartel bat Kolonbian konpainiak. Hartuko dut zuk beren Webgune benetako azkar. 

Beraz Joomla erabiltzen dute. Eta ez zuten eguneratu Joomla azken gain izateko. Eta beraz, noiz begirada bat hartu gintuzten bere kodea, benetan gai izan ginen Bere kodearen barruan daude eta lapurtzen guztiak kreditu txartelaren informazioa izan dutela, kreditu txartelaren zenbaki, izenak, helbideak. Eta hau besterik ez zen - eta bere kodea primeran fina zen. Kode handia izan zuten. Segurtasun guztia izan zen. Datu-base guztietan egiaztatuko dute. Ziur gurutze-gunean egin dute scripting fina zen. 

Baina zerbait ez zela erabiltzen dute eguneratzen, hori ez zen segurua. Eta beraz, horrek ekarri zien -, beraz, you guys dira, zalantzarik beste erabili joan Jendearen kodea, besteen esparru eraikitzeko zure webgunean. Ziurtatu seguru Oraindik dutela delako batzuetan ez da zuk, dena akatsen bat egiten. Baina norbaitek akatsen bat egiten, eta gero behera erori duzu delako hori. 

Pasahitzak eta PII. Beraz, pasahitzak. Ados. Dezagun pasahitzak begirada bat benetako azkar. Ados. Esadazu guztiontzat erabiltzen seguru - Guztiontzat hemen espero dut pasahitzak seguruak erabiltzen ditu. Besterik ez naiz uzteko duen hipotesi gisa. Beraz, you guys dira behin betiko joan gordetzeko pasahitzak zure webgune. Antzeko zerbait egiten ari zara login bat edo horrelako zerbait. Zer da garrantzitsua da ez gordetzeko testu arruntean pasahitzak. Hau oso garrantzitsua da. Ez duzu gorde nahi bat testu arruntean pasahitza. 

Eta ez behin betiko ez benetan nahi gordetzeko modu hash en. Beraz, zer modu hash dela duzunean hitz bat sortzen denean, hau jarri duzu hash funtzio bat sartu hitza, izango da kriptikoaren nolabaiteko sortzen atzera Mezu edo kriptikoak gako multzo. Erakutsi dut adibide bat. Dute hitza password1 egiaztatu noa. Beraz md5 Hash niri itzuli egingo da informazio bitxi nolabaiteko. 

Arazoa da jendeak ez out Hori gustatzen webgune sartu dute Dagoeneko hurrena moduko md5 egiaztapenekin guztien. Zer egin da eseri on izango dira ordenagailuak, eta behin hashed dute posible bakar hitza han arte Sort hori zer den lortu dute. Honen bila dezan banintz - Harrapatu nuen besterik hash hau. Hash hau lortzen badut etatik - joaten naiz, web orri bat sartu bada, eta iruditzen zait hash honetan lortu dut behar delako datu-baseak, eta begiratu dut, norbaitek Dagoeneko hurrena da niretzat. 

Bai. Beraz, jendea eseri, eta edozein dela ere md5 hash horretan jarri duzu, ari dira joan den duzu itzultzeko zerbait duten hitz bat da. Beste hitz bat hash badut, bezala - Ez dakit - trees2. Ez dut etsita izan nahi nire Google bilaketak eginda. Hor dago, trees2. Beraz, webgune asko Oraindik ere md5 hash erabili. , Esaten dute oh, seguru da. Ez dugu testu arruntean gordetzeko. Md5 hash hau dugu. Eta guztiak egin behar dut besterik ez da Google zenbakia. 

Ez dut izan neure burua kalkulatzeko. I Just Google daiteke, eta norbaitek Dagoeneko egin niretzat. Hemen horietako sorta bat da. Hemen pasahitzak mordo bat da. Beraz, behin betiko ez md5 hash erabili, delako guztiak izan behar dituzu egin Google da. Beraz, zer egin ordez erabili nahi al duzu? Ados. Zerbait gazitze deritzo. Beraz, zer gazitze da - gogoratzen duzu guys gure garaian ausazko buruz hitz egiten - Ez nago ziur zer pset zen - zen han pset da edo lau? 

Aurkitzeko buruz hitz egin genuen Lastategi batean orratza. Eta pset batean, esan ezin izan duzu benetan daki zer ausazko sortzen norbait dagoeneko ran ari delako ausazko milioi bat aldiz, eta besterik Sort osatzen dutena sortzeko. Zer egin nahi duzun da sarrera bat jarri. Beraz, zer salting moduko da. Dagoeneko hurrena dute zer salting lan bakoitzeko itzultzen. 

Beraz, zer gazitze ez da gatz bat jarri duzu. Jarri Hitz jakin bat duzu. Eta hitz hori egiaztatu egingo da arabera zer jarri duzu hemen. Beraz pasahitz bat hash dut honekin bada esaldia, nahi hash da joan password1 hash dut ezberdinean bada desberdinak esaldi batekin. Sort ematen du nonbait Egiaztapena noiz hasiko diren hasteko. Beraz, asko gogorragoa konputatu da, baina zuk Oraindik ere kalkula daiteke, batez ere gatza txar bat erabiltzen baduzu. 

Pertsona jadanik ere hurrena gatz eta hurrena komun zer den hori. Ausazko gatz askoz hobeak dira, baina modurik onena da erabili zerbait kriptan deritzo. Eta zer kriptan aukera ematen dizu do - beraz, funtzio horiek ez dira Dagoeneko zuretzat eraiki. Jende askok ahaztu duten, edo ahaztu dute erabili. Baina gora begiratzen dut kriptan PHP, kriptan bada Dagoeneko hash kate bat itzultzen du niretzat. Eta benetan gatz hura adina aldiz eta hainbat aldiz egiaztapenekin da. 

Beraz, ez dugu hori egin ahal izateko. Beraz guztiak egin behar duzun da bidal kriptan sartu. Eta hash handi bat sortuko da, hura gabe gatza kezkatu beharrik duzu edo ezer. Ziren gatza duzu bada, duzulako zer gatza erabiltzen duzun gogoratzeko delako ez bada, ezin duzu zure pasahitza gabe itzuli gatza, erabili duzun. Ados. 

Eta identifikagarri pertsonala ere informazio. Beraz, gizarte segurantza, kreditu-txartela - hori nahiko begi-bistakoa da. Baina batzuetan jendeak ahaztu modu obra da, zenbat informazio egiten duzu benetan pertsona bat batzuk aurkitu behar? Norbait buruzko azterlan bat egin hau modu bat atzera. Eta hala izan zen, baduzu izen osoa, ezin duzu aurkitu norbaitek erraz. Baina zer izen oso bat beharko duzu eta horien jaiotze-data? Da nahikoa identifikatzeko duten norbaitek zehazki? 

Zein den bere izena eta badaukazu du Bizi diren on duten kalean helbidea? Nahikoa norbait aurkitu behar da hori? Eta hori da zalantzan jartzen direnean, zer da informazio pertsonala, eta behar zer kezkatu buruz duzun ez kanpoan emanez? Oparituko dizu identifikagarri pertsonala bada norbaitek ematen dizu, informazioa, potentzialki ahal izango duzu get auzitara eraman. Eta ez behin betiko ez nahi duten. 

Beraz, zure webgunean ari zara jartzen atera, eta benetan cool bat duzu diseinua, zorionez, egin duzun azken proiektua awesome bat. Inolako duzu nahi jarri han. Ziur hori egin nahi duzuna ari zaren erabiltzailea hartu da, bada informazio pertsonala, zuk ziur benetan zaren izatea ziurtatu nahi berarekin ibili. 

Shell injekzio. Ados. Shell injekzio intruder ahalbidetzen zure benetako komando lerroko sarrera lortzeko zure zerbitzari. Eta beraz kodea exekutatzeko gai da zuen ezin duzula kontrolatzeko. Ikus dezagun horren adibide kate eder hemen. Berriro webgunean sartu badugu, naiz ondorengo kodea injekzio sartu joango gara. Beraz, hau ez da - gainera, ez da zer izan ginen aurretik bilatzen. Dena delakoa jarri erabiltzaileari dezazun ari gara nahi du, eta inprimatu egingo du nahi duzuna. 

Beraz, ez dut dei bat jarri nahi dut. Zer da hau ez da - egingo kateatuz hasiko da. Beraz me exekutatu utzi egingo du, edozein dela ere pertsonaren entzierro aginteaz aurretik eta nire komandoa. Eta sistemaren komando bat exekutatzen ari naiz. Eta azken kate horiek dira - gogoratzen zeri buruz hitz egiten duzu guys nahi dut, kodetzeko duzu berriz URL metodo bat da. Exekutatu dut hau orain bada - Hemen erakutsiko baino gehiago dut - ikusiko duzu dut amaitu duten sortu komando bat exekutatzen ari da. 

Hau da benetako zerbitzariari benetan nire web izan abian dagoela. Beraz, ez dugu nahi, daiteke exekutatu dudalako - zerbitzari hori ez da nirea. Beraz, ez dut nahi nahaspila sortu nahi bere arreba, Marcus en zerbitzari. Baina komando gehiago exekutatu dezakezu duten arriskutsuak dira. Eta potentzialki, ezabatu ahal izango duzu fitxategi, katalogo kendu. Direktorio batean badut kendu ahal Nahi nuen, baina ez dut nahi horretarako Marcus da. Mutil bat zuen. Bere zerbitzari maileguan me utzi zuen. Naiz, beraz zion utzi Alde ona da off. 

Beraz, zer ez dugu nahi erabili - ez dugu eval edo sistema erabili nahi. Eval edo sistema aukera ematen digu sistema deiak horiek egiteko. Eval bitartez ebaluatzeko. Sistema esan nahi dudana ran. Honez zerbait exekutatu sisteman. Baina gauza horiek legez kanpo uzteko aukera izango dugu hemen PHP, beraz, ez dugu haiek erabiltzeko. Eta fitxategiak igotzeko. I zen awesome bat egin da joan Igotako fitxategi batera gauza. Baina bezalako guys esan nion, nire fitxategia Igotzeko gauza ez da lanean. Irudiak gehitu oraintxe banintz - irudiak gehitu beharko banu, eta irudi bat da - Igotzeko gauza bat duzu duen irudi bat da. Hori da isuna. Ez da ezer gertatzen. 

Baina upload fitxategi bat, behar izanez gero Adibidez, eta erabiltzaileak benetan igoerak PHP fitxategi edo exe fitxategi edo zerbait duten bezala, ondoren potentzialki ezin izan duzu arazo bat. Hau aurretik zen lanean. Niretzat tamalez, ez da orain ez lanean. Badut, adibidez, fitxategia igo, naiz Ez ezazu igotzeko baimena eskuratzerakoan zerbitzariari dela-fitxategia nirea ez baita. Beraz, lasaia benetan smart. 

Beraz, ez dugu nahi - You guys erakutsi nahi dut - Ados, horiek benetan cool tresna batzuk dira. Beraz, horiek - sartu - guys izanez Firefox - espero ez duzun. Ez dago SQL Inject izeneko bi gehigarri Me eta Cross-Site Gidoia Me. Ireki dute albo txiki gisa tabernak aldean. Eta joan banintz Adibidez CS60 - beraz, zer egiten da itxura forma guztiak horretarako - zorionez, ez dut lortu honen arazoak. 

Baina OK. Hemen pin sistema da. Beraz nintzen zulo bila hasten sistema, lehenengo gauza I egin da ireki txiki eder hau tresna aldean. Eta ez dut inprimakiak probatzeko joan auto erasoak. Eta, beraz, hau ez da izango, poliki-poliki ireki nabigatzaile mordo bat. Hemen Nabigatzaile mordo bat da. Eta konbinazio bakarra behin saiatzen ari da cross-site scripting of dagoela seguru da, bada aldean ikusiko duzu. 

Eta me emango da emaitza erantzuna zein den moduko. Guztiak gainditu. Jakina, pasatzen ziren denak. Esan nahi dut, benetan smart ari dira Jende han. Baina exekutatu banintz - Nik aldiz izan nuen hau exekutatu aurretik ikasleen azken proiektuetan. Exekutatu dut besterik SQL injektatu Me-rekin ezberdinak eraso guztiak. Eta SQL inject saiatzen da pin zerbitzari honetan. Beraz, behera joan gara, eman Adibidez, dio - hau ona da itzultzen bada. 

Beraz, balore jakin batzuk probatu ditu. Eta zerbitzariari bat itzuli kode hori negatiboa izan zen. Ken aldi baterako. Hau ona da. Baldintza hauek guztiak saiatzen da. Beraz, besterik gabe, ezin duzu korrika egin - Webgune erreal bat aurkitu nuen nahi dut azkar me utzi litzateke - agian CS50 dendan. 

Wow, hau da, joan hartzeko modu luzeegia. Utzi dut lehen proba ez amaitzeko eskubidea. Beraz, kexatzen da. Beraz, horiek hiru gauzak dira. Tresna horiek doakoak dira. Horiek deskarga ditzakezu eta exekutatu horien gainean zure webgune, eta esango dizu bada cross-site scripting duzu, SQL baduzu, baduzu bezalako zerbait. Dut moduko messing. 

Zer da garrantzitsua - Ados, beraz, inoiz erabiltzaileari fidatzen. Whatever user input duzu, egiteko Ziur sanitize duzu, garbitu duzu, eskuineko gauzak egiaztatu duzu, dela zuk eman duzuna duzu eman zion nahi. Beti be eguneratzen zer esparru ari zarela benetan erabiliz. - Bootstrap antzeko zerbait erabiltzen baduzu You guys dira erabili ezagutzen dut bootstrap zuen da joan delako gorako honen laster klasean - eta Wordpress edo horrelako zerbait, normalean hau hacked litezke. 

Eta gero ez dakite duzu. Zu besterik ez zure web exekutatzen duzun. Eta guztiz segurua da. Eta behera joan behar. Beraz, oso goiz arrantzan ari naiz. Baina eskerrak eman Pentest Labs nahi dut. You guys erakusteko zerbait noa Pentest Labs izeneko. You guys benetan interesa izanez gero zer segurtasun benetan, ez da bat Webgune Pentest Labs bada deitzen you guys joan da oraintxe. Oh, bai, hori ez da. Besterik ez dut hau bezalako exekutatu. Google erantzuna esaten dit. 

Ados. Eta erabiltzen duzun irakasten - beraz dio, ikasteko web sartze eskuineko bidea probatzen. Irakasten duzu - zorionez, zaren pertsona etikoa. Baina zuk irakasten at nola begiratu dezakezu webgune barrutik nola lor dezakezu. Eta ikasten baduzu nola barrutik lor dezakezu webgune, ikasi ahal izango duzu nola burua babestu lortzean barrutik webgune. Utzi gerturatzeko me agian you guys delako ez dira eskubide hori begira. 

SQL injekzio batetik, shell beraz Sort nola SQL aurrera egin ahal izango dut injekzio den shell. Eta makina birtual honetan deskargatzen duzunean. Eta makina birtuala dagoeneko dator Webgunean duzu Oraindik horrekin Probatu on going. PDF hau deskargatzen duzunean. Eta zuk lerro erakutsiko ditu lerroz zer egin behar duzun, zer begiratu duzu. Hau da, erasotzaile batek zer benetan web gune baten barruan lortu du. 

Eta gauza hau batzuk zaila da. Nahi dut gehiago baino gehiago izan dut joan zuekin gauza. Baina kezkatu dut you guys ez dute benetan - hau da, zer baino gehiago joan nintzen batera , you guys web probak sartze azterketa. , Ez dakit zer SQL da eta zer - Carl Jacksonen mintegia Zoragarria da baita. Zaudete ez dakit nolako hau zer den. Baina bazoaz Webgune honetara, eta zuk tutoretzak horiek eta hauek deskargatu PDFak, moduko begirada bat hartu ahal izango duzu zer segurtasun alorrean benetan sartze probetan, ikusi nola ahal duzun barrutik webgune lortzeko eta babesteko bertatik yourself. 

Beraz, ikuspegi orokor super azkar bat egin badut, bertan egon saihesteko egingo gurutze-site scripting. Htmlspecialchars erabiltzeko behin nahi duzun Erabiltzaileak Sarrerek zerbait denborarik. SQL injekzio saihesteko. Hori egin ezkero, zauden dagoeneko off hobeto Harvard zen baino denean urratu egin dute. Eta ziurtatu zure pasahitzak Ez dira testu arruntean. Ziurtatu egin nahi duzu, ez bakarrik modu hash Horietako baina kriptan erabili duzula, PHP funtzioa duten guys erakutsi dut. Era horretan, ona izan behar duzu. 

Horrez gain, zure lagunak utzi baduzu, exekutatu SQL Inject Me beren web orrietan. Exekutatu cross-site scripting beren web orrietan. Eta webgune horiek asko ikusiko duzu ahuleziak tona bat. Sinestezina da zenbat pertsona ahaztu Bere datu-base higienizatzeko edo egin ziur zer pertsonaren inputting Ez da script kodea. Ados. I moduko amaitu benetan goiz. Baina edonork buruzko zalantzarik baldin badu ezer, tiro niri galdera bat dezakezu. Bai. Joan, joan. 

AUDIENCE: besterik eskatu nahi dut, daiteke nola fitxategian azaldu duzu zehazki lanak igo. 

LUCIANO ARANGO: Bai. Hargatik duzun fitxategia erakutsi igo benetako azkar. Beraz fitxategia kargatu den - Arazoa fitxategia kargatu den bainugel oraintxe dela - Kodearen ireki arte, you guys noa ikusten du atzealdean kodearen. Eta igotzea da. Hemen fitxategia uploader kodea da. 

Honetan sartu saiatzen ari gara hemen baino gehiago direktorioa. Eta saiatzen ari gara, behin sarrerako dugu fitxategia, isset fitxategia - beraz, bada, ez da FILES, irudi horretan fitxategia, eta ondoren hemen mugitzen saiatzen gara. Fitxategia har dugu hemen baino gehiago. Metodoa POST, mota, irudiaren, fitxategia da. Eta fitxategi honetara bidaltzen ari gara. Eta, ondoren, behin lortu dugu, beraz, behin fitxategia irudi bat dauka, bidal saiatzen ari gara direktorio honetan. 

Arazoa da webgunean ez da joan direktorio hau dit dezazun, ez duelako nahi atzera joan me. Ez du nahi joan me - Joan behar dut - beraz, hemen da igo. Hemen irudiak da. Modu guztiak itzuli behar dut hasieratik eta jarri han eta gero joan eta jarri direktorioan. I terminal-leihoan exekutatzen zen, hala bada, eta fitxategi batera mugitu nahi nuen - [INAUDIBLE] Ikusi ahal izango. Fitxategi bat mugitu nahi nuen, bada, nik egin dudan fitxategiaren izena jarri eta gero, bide osoa bidali nahi dut. 

Eta ondoren, zerbitzariak ez uztea zidan atzera jo. Eta beraz, ez da uztea lortzeko fitxategi hori niretzat. Baina normalean - beraz, ez dago kodea da fitxategirik kargatu. Beraz, normalean, zer gertatuko da hori Pertsona ez da egiaztatzen bada nire fitxategia . jpeg bukatzen da, beraz, I begiratu nahi nuke. Dezagun adibide bat ireki zidan gehiegi benetako azkar. 

Ados. Pertsona hori eskubidea - beraz, bi adibide egiaztatzen da preg_match bada - Hemen da hemen baino gehiago da - Ziur bukatzen egiteko PHP, ona da. Hau ona da. Baina ez dago benetako handi bat da honekin arazo. Hau ona da. Baina izeneko fitxategi bat jarri beharko banu myfavoritepicture.php.jpeg, nuen oraindik ere potentzialki ezagutu jpeg kentzeko eta exekutatu it.k Hori PHP en arriskutsua. Ez duzu nahi pertsona gai izan Zure orrian kodea exekutatu. 

Baina orduan. Jpeg aukera dago pasatzen. Ideia da benetan zer egin nahi duzun Ez dago fitxategiak, A. Baina, Ados, hartu zer Benetan egin nahi duzun da ziurtatu mundu osoan zehar irakurri duzun. Eta ez dago ezer. Bertan php. Ez dago. Diren php fitxategi-izen osoa. 

AUDIENCE: Baina zuk Could jarri. jpeg bukaeran. Zerbitzariak, oraindik kodea exekutatu. 

LUCIANO ARANGO: Ez, ez da hasieran exekutatu. Atzera joan eta saiatu behar duzu nahi baduzu, ikus - 

AUDIENCE: Beraz, izan dugu - Ados, besterik beste bat dakar multzo - 

LUCIANO ARANGO: Bai. 

AUDIENCE: Ados. 

LUCIANO ARANGO: Bai. Ados. Beste edozein galdera? Ados. Hau uzteko sortu eta ordenatzeko noa of saiatzeko you guys ahal bada ikusteko - beste batzuk dira, pixka bat gehiago askoz konplikatuak eskatzen dutelako SQL ezagutza gehiago baino besterik hasten diren web SQL ezagutza da eta zer JavaScript da. Baina ez dut hau mantentzeko arte saiatu, eta espero duzu guys izango ikasteko honi buruz eta saiatu peek bat hartu at zer egin dezakezu eta zenbat adibide bidez lor dezakezu. 

Edonork beste edozein hari buruzko galderak? Anima zaitez. Bai, tiro, tiro. Bai, aurrera. Anima zaitez. 

AUDIENCE: Ados. Beraz, entzun nuen nola Magic Quotes ez direla ziurtatzeko nahikoa. 

LUCIANO ARANGO: Zer - Magic Quotes? 

IKUSLEEN: Bai. Beraz, gehitzen du - beraz duzunean sarrera zerbait, komatxo beti gehitzen da. 

LUCIANO ARANGO: Bai. Bai. Ados. 

AUDIENCE: Eta gero, nahiz eta duen lan egin dut, baina gero bilatuko dut. Eta ez da ona, esan du. Baina ez nago ziur zergatik. 

LUCIANO ARANGO: Bai. 

AUDIENCE: Ez Magic Quotes erabiltzea, ez da seguru. 

LUCIANO ARANGO: Ados. Beraz Magic Quotes denean SQL sartzen duzunean eta zuretzat aurrekontua dagoeneko gehitzen da. 

AUDIENCE: beti gehitzen da komatxo edozein dela ere, bertan sartu zure inguruan 

LUCIANO ARANGO: Bai. Beraz, arazoa da hori - Hartuko dut begirada bat - 

AUDIENCE: Nola funtzionatzen du eskuratu SQL adierazpena? Edo asmatu dut izan zitekeen bezalako quote hautatu. 

LUCIANO ARANGO: Bai, behar duzun SQL kotizazio onak. 

AUDIENCE: Ez, baina zerbitzariak du zuretzat. 

LUCIANO ARANGO: komatxo txiki hauek hementxe, komatxo txiki horiek? 

IKUSLEEN: Bai. 

LUCIANO ARANGO: Bai. Arazoa da, ahal duzun komentatu azkena - Ados, beraz, zer egin ahal izango dut ahal komentatu dut irten - beraz dezagun begirada bat - utzi nazazu Testua editatzeko fitxategi bat irekitzeko. Utzi editatu me honetan hementxe zuzenean. Ados. Dezakezu guys duten ikustea argi eta garbi? Zer egin ahal izango dut ahal komentatu dut azkena daudelarik. Hau atera komentatzeko izango azkena. Eta gero jarri dut hemen, jarri maltzurren stuff guztiak hemen. 

Beraz, erabiltzaileak benetan , inputting ezta? Erabiltzaileari ez inputting gauzak, ezta? Hau da, zer sarrera noa gisa pertsonaren barrutik lortu nahian. Ra jarri noa - duten komatxoekin bat da. Da bakarrik squiggly akatsa. Eta gero, zer kodearen da egingo - barkatu, naiz hau hartzeko irten nintzen. Zer kodearen da egin egingo da nik lehen gehitzeko joan komatxo hemen. Eta hori azken gehitzeko joan komatxoekin baita. 

Eta hori ere gehitu egingo da azkena, azken komatxoekin. Baina aipu horiek komentatuz naiz markatzen, beraz, ez dute exekutatu. Eta aipu hau bukatu dut markatu hemen. Ulertzen al duzu? Ari zaren galdu? Azken aipu komentatu ahal dut marka, eta zaindu du Lehenengo komatxoekin. 

AUDIENCE: Eta besterik akabera lehena. 

LUCIANO ARANGO: Bai. Eta besterik gabe amaituko lehena. Bai, hori da. Hori da, zer egin ahal dut. Bai. Beste edozein galdera horrela? Hori galdera bat da. Ez, bai, agian. Zorionez, asko guys ordenatzeko egingo zentzu gehiago denean SQL eta ikasi duzu horrelako gauzak. Baina ziurtatu duzu - mantentzeko tresna horien zaintza ere. Barkatu, hemen baino gehiago tresna horiek. Tresna horiek handiak dira. Edonork galderaren bat badu, halaber email dezakezu nirekin. Hau nire posta normala da. Eta hau nire laneko posta da, eta horrek da dut noiz SEAS lanean. 

Ados, eskerrik asko. Eskerrik asko, mutil. Ona joan Oraindik duzu. Ez duzu hemen lo. Ez Clap. Hori da, bitxi. Ados, eskerrik asko, mutil.