>> लुसियानो Arango: ठीक है, दोस्तों.
मेरा नाम लुसियानो Arango है.
मैं एडम्स हाउस में एक sophomore हूँ.
और हम के बारे में बात कर रही हो जा रहे हैं वेब सुरक्षा सक्रिय रक्षा.
तो मैं सूचना के कार्यालय के लिए काम समुद्र में सुरक्षा.
और गर्मियों में, मैं पर interned एक जानकारी थी जो SeguraTec,
सेवा की है कि सुरक्षा कंपनी कोलंबिया के बैंक के लिए.
मुझे पता चला है कि जहां ज्यादातर है मैं अब तक क्या सीखा है.
>> और इसलिए हम कर रहे हैं कि सामग्री के कुछ आज खत्म हो जाने के लिए जा रहा है, हम नहीं है
वास्तव वर्ग में के बारे में बात की थी.
लेकिन हम जल्दी ही होगा.
यह एसक्यूएल, जावास्क्रिप्ट की तरह होने जा रहा है.
और हम वास्तव में इस पर नहीं गया है.
तो मैं इसके माध्यम से उड़ान की तरह है, और हो सकता है आपको कुछ बातें पता नहीं हो सकता है.
लेकिन जल्द ही, आपको यह पता चल जाएगा.
और यह सब समझ कर दूँगा.
इसके अलावा एक और बात -
नैतिक रहना.
आप सीखना है कि चीजों में से कुछ, आप गैर नैतिक तरीकों से इस्तेमाल कर सकते हैं.
>> यह तुम्हारा है, तो निश्चित रूप से प्रयास करें.
मैं निश्चित रूप से आप लोगों को प्रेरित अपने खुद के सर्वर की कोशिश करना, कोशिश
उन्हें अंदर जा रहा है.
आप उन्हें घुसना कर सकते हैं देखो, आप उन्हें अंदर मिल सकता है.
लेकिन नहीं किसी और का.
पुलिस को सच मजाक की तरह है और नहीं है पूरे, हम यहाँ इस डाल दिया.
हम चारों ओर उलझ गया.
वे वास्तव में गुस्सा आता है.
>> तो इस वेबसाइट के लिए सिर पर.
मैं यहाँ पर खोल दिया है.
यह एक वेबसाइट है, और यह उदाहरण के एक गुच्छा है.
क्या होता है कि पहला उदाहरण एक तरह से एक बहुत आसान होने जा रहा है
एक अर्थ में पिछले उदाहरण से कि पहला उदाहरण
पूरी तरह से असुरक्षित है.
और पिछले एक प्रकार का क्या एक है सामान्य वेब सुरक्षा व्यक्ति से करना होगा.
लेकिन आप अभी भी सॉर्ट कर सकते हैं के आसपास है कि मिलता है.
और हम एक पर ध्यान केंद्रित करने के लिए जा रहे हैं और दो, उदाहरण एक और दो.
>> ठीक है.
के क्रॉस साइट स्क्रिप्टिंग के साथ शुरू करते हैं.
जावास्क्रिप्ट को चलाया जाता है ग्राहक के ब्राउज़र.
यह आप का उपयोग करने वाले एक प्रोग्रामिंग भाषा है ग्राहक के ब्राउज़र इतने पर चलाने के लिए
आप वेबसाइट को अपडेट करने की जरूरत नहीं है और सर्वर को वापस जाओ.
आप यह चल रहा है.
उदाहरण के लिए, सुझाव, तुम नहीं है नई स्थिति के लिए वेबसाइट को फिर से लोड करने के लिए
अद्यतन आने के लिए.
यह उत्पन्न करने के लिए जावास्क्रिप्ट का उपयोग कर रहा है इन सब बातों को.
इसलिए हम दुर्भावनापूर्ण जावास्क्रिप्ट इंजेक्षन कर सकते हैं वेबसाइटों में.
और इस तरह, हम करने के लिए एक लिंक भेज जब किसी को, हम की तरह साथ भेज सकते हैं
हम चाहते हैं कि कोड के कुछ.
>> लगातार और गैर लगातार नहीं है जावास्क्रिप्ट -
लगातार और गैर लगातार क्रॉस साइट पटकथा, मेरा मतलब है.
और अंतर यह है कि लगातार किया जा रहा है हो जाएगा कि जावास्क्रिप्ट है
वेबसाइट पर बचाया.
और गैर लगातार जावास्क्रिप्ट हो जाएगा कि वास्तव में सिर्फ एक बार ही होगा.
तो चलिए एक उदाहरण को देखो असली जल्दी.
>> ठीक है.
तो इस वेबसाइट, सरल, यहाँ कुछ नहीं होता.
और हम कोशिश करने जा रहे हैं कुछ जावास्क्रिप्ट डालें.
तो हम जावास्क्रिप्ट लेखन शुरू तरीका हम शुरुआत स्क्रिप्ट के साथ शुरू होता है.
और हम स्क्रिप्ट के साथ बंद हुआ.
हम सिर्फ एक संदेश डालने के लिए जा रहे हैं -
मैं तुम्हें दिखाता हूँ -
चेतावनी.
चेतावनी एक समारोह है कि जावास्क्रिप्ट कुछ प्रदर्शित करने के लिए उपयोग करता है.
तो चलो जल्दी असली कोशिश करते हैं.
मैं जाने के लिए चेतावनी नमस्कार जा रहा हूँ.
खैर, मैं डाल भूल गया -
ठीक है.
तो यह है कि सरल है.
>> हम एक वेबसाइट पर जावास्क्रिप्ट डाल, और यह आया.
और यह की तरह ही होता है हमारी वेबसाइट पर, सही?
ऐसा नहीं है तो ऐसा लगता है एक समस्या है, है ना?
मेरा मतलब है, आप कैसे इस्तेमाल कर सकते हैं इस दुर्भावनापूर्ण?
हैकर्स इतना है कि रास्ता यह वास्तव में सरल है.
वे इसे हड़पने के लिए जा रहे हैं.
वे तुम्हें करने के लिए इस लिंक पर भेज सकते हैं.
मैं तुम्हें अभी के लिए इस लिंक भेज देंगे, तो और आप इसे खोलो, यह जा रहा है
कह, नमस्कार, कहते हैं कि मेरी वेबसाइट नमस्ते कह रहा है.
>> और इसलिए मैं कुछ एक कहने के लिए थे थोड़ा सा चालाक, मैं अपने आप को रोकना अगर एक
जावास्क्रिप्ट समारोह मैं प्रकार पहले से ही लिखा है -
तुम इसे देखो, लेकिन अगर मैं जाऊँगा मैं इसे लिखा से पहले इसे खत्म.
तो हम एक आउटः सेट करने के लिए जा रहे हैं.
हम के लिए प्रतीक्षा करने के लिए जा रहे हैं कुछ सेकंड.
वास्तव में, अगर हम के लिए प्रतीक्षा करने के लिए जा रहे हैं मैं पाँच सेकंड गलत नहीं हूँ.
इस मिलीसेकेंड में चला जाता है.
और फिर हम क्या करने जा रहे हैं हम कर रहे है सचेत करने के लिए जा रहा है कि लॉगिन
अंदर वापस लॉग ऑन करने का समय समाप्त
और हम स्थान परिवर्तित करने के लिए जा रहे हैं एक अलग स्थान है.
>> इसलिए मैं किसी को इस वेबसाइट भेजें, वे बनने जा रही हैं
शांत, चारों ओर ब्राउज़िंग.
कुछ भी नहीं हो रहा है.
और पाँच सेकंड में, यह हो रहा है कहने के लिए, अपनी प्रवेश का समय समाप्त हो.
अंदर वापस लिए लॉग इन करें
वे ठीक क्लिक करने के बाद, मैं जा रहा हूँ एक अन्य वेबसाइट पर उन्हें लेने के लिए.
मुमकिन है, वेबसाइट के लिए जा रहा है वेबसाइट के समान हो कि
वे पहले थे.
और वे लॉग ऑन करने के लिए जा रहे हैं उनके मेरी वेबसाइट के बजाय में साख
उनकी वेबसाइट.
>> और इसलिए मैं लोगों को एक भेज सकते हैं इस लिंक के साथ ईमेल करें.
मैं ओह, यहाँ एक कड़ी है, का कहना है.
इस उदाहरण के लिए, एक बैंक है.
मैं यहाँ कहना है, इस लिंक पर जाना.
वे इसे भेजने और एक बार वे कर रहे हैं आसपास ब्राउज़िंग होने जा रहा.
मैं 15 सेकंड, 20 सेकंड के लिए प्रतीक्षा कर सकते हैं, और फिर उस में वापस लॉग इन करें पॉप
पर वापस साइन इन करें.
तुम लोगों के साथ यह कोशिश कर सकते हैं एक बहुत अधिक बातें.
यह जटिल है कि तुम लोग क्योंकि जावास्क्रिप्ट को देखा, तो आप हो सकता है नहीं है
कुछ कार्यों को पता नहीं.
लेकिन तुम सब करना है शुरुआत है स्क्रिप्ट के साथ, स्क्रिप्ट के साथ खत्म होता है.
और अगर आप कुछ भी डाल सकता है बीच में.
>> चेतावनी के लिए प्रतीक्षा, एक समारोह है.
विंडो स्थान ले जाता है एक नए स्थान पर.
लेकिन आप इतना कुछ कर सकते हैं.
इसलिए योजना है हम चाहते हैं कि दूर ले.
मैं उदाहरण दो के लिए जाना है, और मैं अगर इस एक ही कोड में डाल दिया, यह बात है
काम करने के लिए नहीं जा रहा.
तो यह है, क्योंकि सब कुछ बाहर मुद्रण है क्या आप इस वेबसाइट मूल रूप से
मैं यहाँ कुछ भी डाल दिया है यदि करता है, यह सही यहाँ इसे बाहर प्रिंट करेंगे.
तो यह कुछ भी बाहर मुद्रण नहीं है.
इस उदाहरण वास्तव में जाँच कर रहा है स्क्रिप्ट वहाँ है देखने के लिए.
तो हाँ, आगे बढ़ो.
मुझे पूछो.
>> दर्शक: नहीं भेज रहा है एक पाने के लिए या अनुरोध पोस्ट?
>> लुसियानो Arango: हाँ. वे कर रहे हैं एक अनुरोध प्राप्त भेज रहा है.
>> दर्शक: यह है?
>> लुसियानो Arango: हाँ.
इसके अलावा ब्राउज़रों पोस्ट अनुरोध का उपयोग करें.
लेकिन मैं अनुरोध को दिखाने की कोशिश कर रहा हूँ हम क्या देख सकें
वास्तव में चल रहा है.
और इसलिए हम इस कोड को देखो - इसलिए यह अब और काम नहीं कर रहा.
और हम इस कोड पर एक नज़र रखना अगर, यह उदाहरण दो में होने जा रहा है.
इस व्यक्ति क्या कर रहा है, व्यक्ति इस ब्राउज़र के आरोप में -
ठीक है, खोल -
शब्द स्क्रिप्ट की जगह है.
इस php है, जो तुम लोगों को हो सकता है अभी तक का एक छोटा सा देखा है.
>> वह सिर्फ जगह है नाम के साथ शब्द स्क्रिप्ट.
फिर भी, मैं आगे जाना है और बस में डाल दिया -
मैं फिर से अपने कोड ले लो, और मैं जा रहा हूँ अगर यह सिर्फ एक छोटा सा संशोधित करने के लिए.
इसके बजाय स्क्रिप्ट की, मैं बदलने के लिए जा रहा हूँ यह एक पूंजी आर और साथ स्क्रिप्ट के लिए
हम इस कोड काम करता है देखने के लिए जा रहे हैं.
तो यह, इसे बाहर प्रिंट नहीं था जो एक अच्छा संकेत है.
और उम्मीद है कि दो और सेकंड में, यह पॉप अप करने के लिए जा रहा है.
>> आपका लॉगिन का समय समाप्त हो.
ठीक है.
कोई बात नहीं.
तो स्क्रिप्ट के लिए जाँच हो सकता है जरूरी काम नहीं.
व्यक्ति -
यह भी स्क्रिप्ट अपरकेस के लिए जाँच कर सकते हैं, स्क्रिप्ट लोअरकेस, Str मामले
वे वही कर रहे हैं, सुनिश्चित करें की तुलना करें.
लेकिन हैकर अभी भी क्या की तरह कर सकते हैं हम चले गए जब हम Vigenere में किया था
वापस एक जोड़े वर्ण, आगे बढ़ना है.
और यह स्क्रिप्ट डाल करने के लिए कैसे समझ सकते हैं इसे वापस इंजेक्षन कर सकते हैं ताकि वहाँ में
उस स्क्रिप्ट.
>> तो क्या आप उपयोग करना चाहते हैं htmlspecialchars है
अपनी वेबसाइट की रक्षा.
और क्या करता है यह बनाता है सुनिश्चित करें कि आप में क्या रखा है कि -
उदाहरण के लिए, कोटेशन या इस - से अधिक से अधिक या कम
कुछ के साथ बदल रहा है कि नहीं होगा -
मुझे यहां ज़ूम जाने -
वास्तविक एम्परसेंड.
यह उन विशेष HTML बदल देगा हम कर रहे हैं जब हम देखेंगे कि वर्ण
के बारे में बात -
ओह, यह मुझे वापस लेने के लिए जा रहा है -
यहीं इन पात्रों.
>> ये दर्शाता है कि कुछ आ रही है.
एचटीएमएल, कि शुरुआत वर्ग के लिए हमें बताता है कि कुछ
संबंधित एचटीएमएल आ रहा है.
और हम उससे छुटकारा पाना चाहते हैं.
हम एक में HTML डाल नहीं करना चाहती website.k हम उपयोगकर्ता हो नहीं करना चाहती
अपनी वेबसाइट में कुछ डाल करने में सक्षम ऐसे ही, उनकी वेबसाइट को प्रभावित कर सकते हैं
स्क्रिप्ट या HTML या ऐसा कुछ.
महत्वपूर्ण बात यह है कि तुम उपयोगकर्ता इनपुट sanitize.
>> तो उपयोगकर्ताओं को इनपुट बहुत सी बातें हो सकता है.
उन्होंने इनपुट प्रयास करने के लिए सामान की एक गुच्छा कर सकते हैं अभी भी में अपने ब्राउज़र चाल के लिए
इस स्क्रिप्ट कोड चल रहा है.
आप क्या करना चाहते हैं बस नहीं लग रही है स्क्रिप्ट के लिए, लेकिन सब कुछ के लिए देखो
कि दुर्भावनापूर्ण हो सकता है.
और htmlspecialchars कि क्या करेंगे आप के लिए है, तो आप नहीं है
इसके बारे में चिंता करने के लिए.
लेकिन खुद से करने की कोशिश नहीं करते एक तरह से अपने खुद के कोड के साथ.
हर कोई XSS पर स्पष्ट है?
>> ठीक है.
के SQL इंजेक्शन के लिए चलते हैं.
तो SQL इंजेक्शन शायद है नंबर एक भेद्यता
विभिन्न वेबसाइटों में.
मैं एक अच्छा उदाहरण मतलब है -
मैं अभी दूर का शोध कर रहा था इस बात के लिए.
और मैं इस भयानक लेख, पाया जहां मैं हार्वर्ड उल्लंघन किया गया था कि देखा,
काट दिया गया था.
और मैं अच्छी तरह से सोच रहा था, वे इसे कैसे करना होगा?
हार्वर्ड, सबसे भयानक है सबसे कभी विश्वविद्यालय सुरक्षित.
है ना?
खैर, सर्वर भंग करने के लिए, हैकर्स एक प्रयोग
SQL इंजेक्शन तकनीक कहा जाता है.
>> इसलिए इस दिन के आधार पर एक दिन होता है.
लोग खाते में लेने की भूल जाते हैं SQL इंजेक्शन के लिए.
हार्वर्ड करता है.
मैं यह प्रिंसटन, यहाँ का कहना है लगता है स्टैनफोर्ड, कॉर्नेल.
तो कैसे हम करते हैं - तो यह SQL क्या है इन सभी ला रहा है कि इंजेक्शन
लोग नीचे?
ठीक है.
तो एसक्यूएल एक प्रोग्रामिंग भाषा है कि हम डेटाबेस का उपयोग करने के लिए उपयोग करें.
हम क्या हम चयन है -
तो क्या यह सही अब पढ़ता Select है मेज से सब कुछ.
>> एसक्यूएल, यह इन डेटाबेस में परिवर्तन जानकारी से भरा टेबल है कि.
तो उपयोगकर्ताओं से सब कुछ का चयन नाम उपयोगकर्ता नाम है.
है ना?
काफी आसान है.
SQL इंजेक्शन का विचार है कि हम कुछ दुर्भावनापूर्ण कोड डालने कि होगा
कुछ चल रहा है में सर्वर चाल क्या यह तुलना में अलग
मूल रूप से चल रहा था.
तो चलो उपयोगकर्ता नाम के लिए कहते हैं, हम में डाल या 1 1 के बराबर होती है.
तो हम में डाल या 1 1 के बराबर होती है.
यह अब पढ़ा होगा रास्ते का चयन किया जाएगा उपयोगकर्ताओं को, सब कुछ से से
उपयोगकर्ताओं - इस सब कुछ है -
नाम उपयोगकर्ता नाम है, लेकिन जहां यूजर का नाम है या 1 1 के बराबर होती है.
>> इसलिए नाम कुछ भी नहीं है या 1 1 के बराबर होती है.
1 1 हमेशा सच है के बराबर होती है.
तो यह हमेशा जानकारी वापसी करेंगे उपयोगकर्ताओं से.
ठीक है.
हम की जरूरत नहीं है सही उपयोगकर्ता नाम.
हम सिर्फ हम चाहते हैं कि कुछ भी हो सकता है, और यह जानकारी वापसी करेंगे
जरूरत है कि हम.
चलो एक और उदाहरण देखते हैं.
>> हम उपयोगकर्ता से सब कुछ का चयन किया है, नाम छोड़ टेबल उपयोगकर्ताओं है जहां -
तो तुम्हें क्या लगता है इस वसीयत मैं उपयोगकर्ता नाम में डाल
छोड़ टेबल उपयोगकर्ताओं के रूप में?
किसी को भी एक विचार है?
हां.
>> दर्शक: यह बताने के लिए जा रहा है यह सभी तालिकाओं डंप करने के लिए.
>> लुसियानो Arango: यह हमें बताने के लिए जा रहा है वेबसाइट में सब कुछ डंप करने के लिए,
डेटाबेस में सब कुछ.
और जो लोगों के लिए इस का उपयोग करें - तो मैं तुम लोगों को दिखाने के लिए जा रहा हूँ.
मैं टेबल छोड़ने अक्षम मैं तुम्हें नहीं चाहते थे क्योंकि
लोग मेरी टेबल ड्रॉप करने के लिए.
चलो इस पर एक नज़र रखना.
तो यह बस जानकारी खींचतान एक खास व्यक्ति के लिए.
अगर यह होता है तो हमें कैसे पता चलेगा SQL इंजेक्शन से प्रभावित.
हम असली त्वरित जांच करने के लिए जा रहे हैं हम कुछ डाल सकते हैं -
मुझे इस कोड की नकल करते हैं.
मैं एक सेकंड में इस पर जाने के लिए जा रहा हूँ.
मैं जड़ डाला जा रहा हूँ और 1 1 के बराबर होती है.
>> यह ठीक है यहाँ, इस प्रतिशत चिह्न 23 -
क्या यह सच है, अगर मैं पर यहीं देखो -
आप अगर एचटीएमएल, संख्या में लेता रास्ता मैं एक अंतरिक्ष में डाल दिया जब पर एक नज़र रखना
यहाँ - मैं अंतरिक्ष कुछ के लिए गए थे यहां, यह एक प्रतिशत से 2 यह बदलता है.
तुम लोग यहीं यह देखना करो मैं एक अंतरिक्ष में डाल दिया है?
यह काम करता है जिस तरह से है कि आप केवल यह कर सकते है एचटीएमएल के माध्यम से ASCII मूल्यों भेजें.
तो यह, उदाहरण के लिए, बदलता है 20 प्रतिशत के साथ एक अंतरिक्ष.
मैं नहीं जानता कि यदि तुम लोग इससे पहले कि देखा है.
>> यह प्रतिशत 23 के साथ एक हैशटैग बदल देता है.
हम के अंत या कम एक हैशटैग जरूरत बयान हम बता सकते हैं कि इतना
बाहर टिप्पणी करने के लिए भूल करने के लिए डेटाबेस अंत में यह पिछले अर्धविराम.
हम यह है कि के बारे में सोचना नहीं चाहता हूँ.
हम सिर्फ यह सब कुछ चलाना चाहते हैं हम पहले से है और वह
कि बाहर टिप्पणी.
चलो यह पर एक नज़र रखना.
>> मैंने कुछ गलत नहीं डाल रहे थे तो - उदाहरण के लिए हम कहते हैं, मैं 2 से बराबर डाला
1, यह मुझे कुछ भी नहीं देता है.
मैं 1 में डाल दिया जब 1 के बराबर होती है, और यह करता है कुछ वापस, यह मुझसे कहता है कि
इस की चपेट में है एक SQL इंजेक्शन.
अब मुझे पता है कि जो कुछ भी मैं इस के बाद डाल -
और उदाहरण के लिए, मेज ड्रॉप या ऐसा कुछ
निश्चित रूप से काम करेंगे.
मैं यह SQL इंजेक्शन की चपेट में है पता मुझे पता है कि क्योंकि
हुड के नीचे, यह दे रहा है मुझे 1 1 बात बराबर होती करते हैं.
ठीक है?
>> और हम इन अन्य लोगों को देखो, नंबर दो और नंबर तीन, यह बात है
एक छोटा सा और क्या करने जा के नीचे की जाँच
यह क्या है के हुड.
तो किसी को भी ड्रॉप सक्षम अभी तक कुछ भी या करने की कोशिश की?
तुम लोगों को एक तरह से अभी तक एसक्यूएल मिलता है?
क्योंकि मुझे पता है कि तुम लोगों को नहीं है अभी तक यह देखा, तो यह एक तरह से है
आप लोगों के लिए भ्रामक.
चलो एक नज़र रखना.
तो SQLI को रोकने के लिए रास्ता क्या है?
ठीक है.
तो यह वास्तव में महत्वपूर्ण है क्योंकि आप लोगों को निश्चित रूप से रोकना चाहते हैं
इस अपनी वेबसाइटों में.
>> यदि नहीं, अपने सभी दोस्तों के लिए जा रहे हैं वे सभी बूंद जब आप का मज़ाक उड़ाते
अपने टेबल.
तो विचार है कि आप एसक्यूएल मरम्मत करता है एक निश्चित तरीके से, जबकि आप मैच
क्या साथ उपयोगकर्ता आदानों एक निश्चित स्ट्रिंग.
तो यह काम करता है जिस तरह आप है डेटाबेस तैयार करते हैं.
आप नाम, रंग, और कैलोरी का चयन एक डेटाबेस बुलाया फल से.
और फिर कैलोरी, की तुलना में कम है, जहां और हम वहाँ एक सवालिया निशान लग
हम निवेश करने जा रहे हैं कह रही है एक दूसरे में कुछ.
>> और रंग के बराबर होती है, और हम एक सवाल रखा मार्क हम करने जा रहे हैं कह रही है
इनपुट एक दूसरे में कुछ के रूप में अच्छी तरह से.
ठीक है?
और फिर हम डाल, इसे निष्पादित 150 और लाल रंग में.
और यह सुनिश्चित करने के लिए जाँच करेगा यकीन है कि इन दोनों कि -
इस सरणी की जाँच करेगा कि इन दो एक पूर्णांक और हैं
यह एक स्ट्रिंग है कि.
तो हम चलते हैं, और हम लाने सभी, हम लाल रंग में डाल दिया.
यही कारण है कि हम सभी को लाने का मतलब है.
यह हम वास्तव में एसक्यूएल अमल का मतलब बयान और लाल रंग में इसे वापस डाल दिया.
यहाँ हम वही करते हैं, लेकिन हम पीले रंग के लिए भी ऐसा ही.
और हम सभी को ले आओ.
>> और इस तरह, हम उपयोगकर्ता को रोकने के इनपुट कुछ करने में सक्षम होने से
कि हम निर्दिष्ट क्या, एक स्ट्रिंग नहीं है या एक पूर्णांक, उदाहरण के लिए.
मैं पहले के बारे में बात कर रहा था दूसरों पर निर्भर.
तुम लोगों को अपनी परियोजना शुरू करते हैं, तो आप कर रहे हैं सबसे निश्चित रूप से उपयोग करने के लिए जा रहा
bootstrap या कुछ इसी तरह की.
तुम लोग कभी Wordpress इस्तेमाल किया है?
शायद तुम लोगों को इस्तेमाल किया है Wordpress सबसे अधिक संभावना है.
तो उपयोग करने के साथ समस्या अन्य लोगों की बातें -
मैं तो बस गूगल असली जल्दी करने के लिए जा रहा हूँ Wordpress भेद्यता.
>> मैं अभी यह ऊपर खींच हैं -
मैं सचमुच एक दो दूसरे गूगल किया.
हम चाहते हैं कि Wordpress देख सकते हैं -
इस साल सितंबर '12 के रूप में दिनांकित है.
26 अद्यतन किया जाता है.
WordPress के तयशुदा विन्यास 3.6 इन नहीं रोकता पहले
कुछ अपलोड, जो हो सकता है यह आसान के लिए बना
क्रॉस साइट स्क्रिप्टिंग हमलों.
तो एक त्वरित कहानी, एक बार हम काम कर रहे थे साथ - तो मैं एक काम कर, गर्मियों में था,
इंटर्नशिप.
और हम की तरह साथ काम कर रहे थे एक बड़ी क्रेडिट कार्ड कंपनी की तरह.
>> और वे बुलाया कुछ पर भरोसा करते हैं -
तुम लोग कभी खेला अगर मैं नहीं जानता जूमला नामक एक उत्पाद के साथ.
जूमला के लिए प्रयोग किया जाता है कि एक उत्पाद है नियंत्रण - तरह के समान करने के लिए
वेबसाइटों का निर्माण करने के लिए इस्तेमाल Wordpress,.
इसलिए वे अपनी वेबसाइट था जूमला पर काम कर रहा.
यह वास्तव में एक क्रेडिट कार्ड है कोलम्बिया में कंपनी.
मैं के लिए ले जाऊँगा उनके वेबसाइट असली जल्दी.
>> इसलिए वे जूमला इस्तेमाल किया.
और वे जूमला अद्यतन नहीं था नवीनतम इसके अलावा करने के लिए.
और इसलिए हम पर एक नज़र ले जा रहे थे जब उनके कोड, हम वास्तव में करने में सक्षम थे
उनके कोड के अंदर जाने के लिए और चोरी सब वे था कि क्रेडिट कार्ड की जानकारी,
सभी क्रेडिट कार्ड नंबर, नाम, पते.
और यह सिर्फ था -
और उनके कोड बिल्कुल ठीक था.
वे महान कोड था.
यह सभी सुरक्षा था.
वे सभी डेटाबेस की जाँच की.
वे क्रॉस साइट सुनिश्चित कर दिया पटकथा ठीक था.
>> लेकिन वे नहीं था कि कुछ इस्तेमाल किया अद्यतन, कि सुरक्षित नहीं था.
और इसलिए उनके नेतृत्व कि - तो तुम लोग निश्चित रूप से अन्य उपयोग करने के लिए जा रहे हैं
लोगों के कोड, अन्य लोगों के चौखटे अपनी वेबसाइट का निर्माण करने के लिए.
वे सुरक्षित रहे यह सुनिश्चित करें कि क्योंकि कभी कभी यह है कि, एक तुम नहीं है
एक गलती करता है.
लेकिन किसी एक गलती करता है, और तो आप उसकी वजह से नीचे गिर जाते हैं.
>> पासवर्ड और PII.
तो पासवर्ड.
ठीक है.
के पासवर्ड पर एक नज़र रखना असली जल्दी.
ठीक है.
कृपया मुझे बताओ कि हर कोई सुरक्षित उपयोग करता है -
मैं यहाँ हर कोई उम्मीद कर रहा हूँ सुरक्षित पासवर्ड का उपयोग करता है.
मैं अभी दे रहा हूँ कि एक धारणा के रूप में.
तो तुम लोग निश्चित रूप से करने जा रहे हैं अपनी वेबसाइट के लिए पासवर्ड की दुकान.
आप की तरह कुछ करने जा रहे हैं इस तरह से एक लॉगिन या कुछ और.
महत्वपूर्ण बात यह है की दुकान नहीं है सादे पाठ में पासवर्ड.
यह अत्यंत महत्वपूर्ण है.
आप स्टोर करने के लिए नहीं करना चाहती एक सादे पाठ में पासवर्ड.
>> और आप निश्चित रूप से वास्तव में नहीं चाहते हैं एक तरह से एक हैश में यह स्टोर करने के लिए.
तो क्या एक तरह से एक हैश है कि जब आप आप इस डाल, एक शब्द उत्पन्न
एक हैश समारोह में शब्द, यह होगा गुप्त के कुछ प्रकार वापस उत्पन्न
संदेश या चाबी का गुप्त सेट.
मैं आपको एक उदाहरण दिखाता हूँ.
मुझे लगता है वे शब्द password1 हैश करने के लिए जा रहा हूँ.
तो एमडी 5 हैश मुझे वापस जाने के लिए जा रहा है अजीब जानकारी के कुछ प्रकार की.
>> समस्या यह है कि लोगों को वहाँ से बाहर है उन वेबसाइटों में जाना पसंद है
पहले से ही सुलझाना लगा सभी एमडी 5 हैश की.
वे वे पर बैठ गया है क्या उनके कंप्यूटर, और वे हर टुकड़े किए गए
वहाँ से बाहर ही संभव शब्द तक वे एक तरह से यह क्या हो गया.
मैं यह देख रहे थे -
मैं सिर्फ इस हैश को पकड़ा.
मैं से इस हैश मिलता है -
मैं एक वेबसाइट में जाना, और मैं मिल जाए इस हैश मैं करने के लिए मिलता है क्योंकि
डेटाबेस, और मैं इसे देखो, किसी को पहले से ही मेरे लिए यह समझ से बाहर.
>> हाँ.
तो लोग बैठ गए, और जो कुछ एमडी 5 आप में डाल दिया है कि हैश, वे जा रहे हैं
तुम्हारे पास लौट कुछ कि एक शब्द है.
मैं की तरह, एक और शब्द हैश हैं -
मैं नहीं जानता कि -
trees2.
मैं निराश नहीं करना चाहती मेरे गूगल खोज से.
वहाँ यह trees2 है.
इसलिए वेबसाइटों की एक बहुत अभी एमडी 5 हैश का उपयोग करें.
वे ओह, यह सुरक्षित है, का कहना है.
हम सादे पाठ में भंडारण नहीं कर रहे हैं.
हम इस एमडी 5 हैश है.
और मैं सब करना है बस है नंबर गूगल.
>> मैं भी अपने आप की गणना करने के लिए नहीं है.
मैं सिर्फ यह गूगल, कर सकते हैं और किसी को पहले से ही मेरे लिए ऐसा किया था.
यहाँ पर उनमें से एक गुच्छा है.
यहाँ पासवर्ड का एक गुच्छा है.
तो निश्चित रूप से एमडी 5 हैश का उपयोग नहीं करते, क्योंकि आप सभी के लिए है
कर यह गूगल है.
तो क्या आप के बजाय का उपयोग करना चाहते हैं?
ठीक है.
रेह बुलाया कुछ.
तो क्या रेह है -
हम थे जब तुम लोग याद करते हैं में यादृच्छिक के बारे में बात -
मैं यह क्या था pset यकीन नहीं कर रहा हूँ -
यह वहाँ pset या चार गया था?
>> हम खोज के बारे में बात कर रहे थे सूखी घास का ढेर में सुई.
और pset में, यह कहा तुम सकता है कि क्या वास्तव में यादृच्छिक समझ से बाहर
किसी को पहले से ही भाग गया है क्योंकि उत्पन्न यादृच्छिक एक लाख गुना और बस
एक तरह से वे उत्पन्न क्या गठन.
आप क्या करना चाहते है एक इनपुट में डाल दिया.
तो उस तरह का है क्या नमकीन है.
वे पहले से ही नमकीन सुलझा प्रत्येक कार्य के लिए देता है.
>> तो क्या रेह करता है आप एक नमक में डाल दिया.
आप एक निश्चित शब्द में डाल दिया.
और यह निर्भर करता है कि शब्द हैश होगा आप यहां क्या रखा पर.
इसलिए मैं इस के साथ पासवर्ड एक हैश अगर वाक्य, यह हैश करने के लिए जा रहा है
मैं password1 हैश अलग तरह से अगर एक अलग सजा के साथ.
यह एक तरह से करने के लिए कहीं न कहीं यह देता है शुरू करने के लिए hashing के लिए शुरू करते हैं.
तो यह आप की गणना करने के लिए एक बहुत कठिन है, लेकिन अभी भी विशेष रूप से, यह गणना कर सकते हैं
आप एक बुरा नमक का उपयोग करते हैं.
>> लोग पहले से ही यह भी पता लगा है आम लवण और समझ से बाहर
यह है कि क्या.
रैंडम लवण ज्यादा बेहतर हैं, लेकिन सबसे अच्छा तरीका उपयोग करने के लिए है
तहखाना बुलाया कुछ.
और क्या तहखाना आप की अनुमति देता है इसलिए इन कार्य कर रहे हैं - है
पहले से ही आप के लिए बनाया गया है.
बहुत से लोग भूल जाते हैं कि, या वे इसका इस्तेमाल करने के लिए भूल जाते हैं.
लेकिन मैं तहखाना पीएचपी, तहखाना ऊपर देखो पहले से ही मेरे लिए एक हैश तार आए.
और यह वास्तव में यह कई बार लवण और यह कई बार hashes.
>> इसलिए हम यह करने की जरूरत नहीं है.
तो तुम सब करना है है तहखाना में भेज देते हैं.
और इसके बिना एक महान हैश पैदा करेगा आप नमक के बारे में चिंता किए
या कुछ भी.
आप नमक के लिए अगर यह थे, क्योंकि तुम आप क्या इस्तेमाल किया नमक याद करने के लिए
क्योंकि यदि नहीं, तुम नहीं कर सकते हैं अपने वापस बिना पासवर्ड
आप का इस्तेमाल किया है कि नमक.
ठीक है.
>> और भी व्यक्तिगत रूप से पहचान योग्य जानकारी.
इसलिए सामाजिक सुरक्षा, क्रेडिट कार्ड - कि बहुत स्पष्ट है.
लेकिन कभी कभी लोगों को जिस तरह से भूल जाते हैं कि यह निर्माण आप कितना जानकारी है,
वास्तव में कुछ एक व्यक्ति को खोजने की जरूरत है?
किसी के बारे में एक अध्ययन किया था यह एक तरह से वापस.
और यह आप है, की तरह था एक पूरा नाम, तुम्हें नहीं मिल सकता
कि आसानी से किसी को.
लेकिन अगर आप एक पूरा नाम क्या है अगर और जन्म की तारीख?
पहचान करने के लिए पर्याप्त है कि विशेष रूप से किसी को?
>> क्या आप उनके नाम और है अगर वे पर रहते हैं कि सड़क का पता?
कि किसी को खोजने के लिए पर्याप्त है?
वे सवाल और है कि जब है क्या, है व्यक्तिगत पहचान वाली जानकारी है, और
आप के बारे में क्या चिंता करनी चाहिए दूर नहीं दे रहा?
आप व्यक्तिगत रूप से पहचान योग्य दूर देते हैं किसी ने तुम्हें देता है कि सूचना,
आप संभवतः जारी हो सकता है.
और हम निश्चित रूप से ऐसा नहीं करना चाहता.
>> तो आप अपनी वेबसाइट डाल रहे हैं जब बाहर, और आप एक बहुत अच्छा है
डिजाइन, उम्मीद है कि आप बनाया एक भयानक अंतिम परियोजना.
आप की तरह करना करना चाहते हैं वहाँ इसे बाहर डाल दिया.
तुम्हें यकीन है कि बनाने के लिए जो चाहते हैं अगर यह तुम, उपयोगकर्ता से ले जा रहे हैं
व्यक्तिगत रूप से पहचान योग्य जानकारी, आप सुनिश्चित करें कि आप वास्तव में हो जा रहा है बनाना चाहते
इसके साथ सावधान.
>> शैल इंजेक्शन.
ठीक है.
शैल इंजेक्शन को घुसपैठिया अनुमति देता है अपने वास्तविक कमांड लाइन के लिए उपयोग हो
अपने सर्वर में.
और इसलिए वह कोड चलाने के लिए सक्षम है आप नियंत्रित नहीं कर सकते कि.
चलो इस का एक उदाहरण लेते हैं यहीं सुंदर स्ट्रिंग.
हम फिर से वेबसाइट में जाओ, मैं हूँ कोड इंजेक्शन में जाने के लिए जा रहा.
तो क्या इस करता है -
यह हम क्या थे भी है पहले कम से देख रहे हैं.
हम जो कुछ भी में डाल उपयोगकर्ता दे रहे हैं वह चाहता है, और इसे बाहर प्रिंट जाएगा
जो आप चाहते हैं.
>> तो मैं एक कॉल डाल करने के लिए जा रहा हूँ.
यह क्या करता है -
यह concatenating से शुरू होगा.
तो यह मुझे चलाने देना होगा जो भी व्यक्ति के चलने की कमान
पहले और मेरे आदेश.
और मैं एक प्रणाली कमांड चल रहा हूँ.
और ये पिछले तार कर रहे हैं - याद क्या मैं के बारे में आप लोगों से बात की,
आप सांकेतिक शब्दों में बदलना है, जबकि यह एक यूआरएल विधि में.
मैं अब इस चलाते हैं -
मैं यहाँ आप के ऊपर दिखाता हूँ -
आपको मैं समाप्त हो गया है कि देख लेंगे ऊपर एक कमांड चल रहा है.
>> यह वास्तव में वास्तविक सर्वर है मेरी वेबसाइट पर चल रहा है.
इसलिए हम नहीं चाहते कि, मैं चला सकते हैं क्योंकि -
इस सर्वर मेरा नहीं है.
तो मैं गड़बड़ नहीं करना चाहते हैं उसका बहन, मार्कस के सर्वर.
लेकिन आप अधिक आदेश चला सकते हैं खतरनाक होते हैं कि.
और संभवतः, आप को नष्ट कर सकता फाइल, निर्देशिका हटा दें.
मैं एक निश्चित निर्देशिका अगर दूर कर सकते हैं मैं करना चाहता था, लेकिन मैं नहीं चाहता
मार्कस को ऐसा करने के लिए.
वह एक अच्छा लड़का है.
उन्होंने कहा कि मुझे अपने सर्वर उधार ले.
तो मैंने उसे जाने के लिए जा रहा हूँ अच्छा एक पर बंद.
>> तो क्या हम उपयोग नहीं करना चाहते हैं - हम नहीं eval या सिस्टम का उपयोग करना चाहते हैं.
Eval या व्यवस्था करने के लिए हमें की अनुमति देता है इन सिस्टम कॉल करते हैं.
Eval साधन का मूल्यांकन.
प्रणाली मैं भागा क्या मतलब है.
यह प्रणाली में कुछ चला रहा है.
लेकिन हम में इन बातों को ग़ैरक़ानूनी कर सकते हैं PHP हम उन्हें प्रयोग नहीं करते हैं.
और फाइल अपलोड करें.
मैं एक भयानक करने जा रहा था फाइल अपलोड के साथ बात.
लेकिन जैसा मैंने, मेरी फाइल तुम लोगों को बताया अपलोड बात नहीं कर रहा है.
मैं अभी एक फाइल अपलोड कर रहे थे -
मैं एक फ़ाइल अपलोड करने के लिए थे, अगर और यह एक तस्वीर है -
आप एक अपलोड बात है कि एक तस्वीर है.
यह ठीक है.
कुछ नहीं होता.
>> लेकिन अगर आप एक अपलोड फ़ाइल, के लिए है अगर उदाहरण के लिए, और उपयोगकर्ता वास्तव में अपलोड
एक PHP फ़ाइल या एक exe फ़ाइल या कुछ और ऐसे ही, तो आप संभवतः सकता है
एक समस्या है.
इस से पहले काम कर रहा था.
दुर्भाग्य से मेरे लिए, यह है अब और काम नहीं कर रहा.
मैं, उदाहरण के लिए, इस फाइल को अपलोड करते हैं, मैं कर रहा हूँ अपलोड करने की अनुमति नहीं मिल रहा है
सर्वर की वजह से फाइल मेरा नहीं किया जा रहा.
तो आदमी बहुत चालाक है.
>> इसलिए हम नहीं करना चाहते हैं -
मैं तुम लोगों को दिखाने के लिए जा रहा हूँ -
ठीक है, इन कुछ बहुत अच्छा साधन है.
इसलिए इन -
में जाने - तुम लोग फ़ायरफ़ॉक्स है - उम्मीद है कि आप करते हैं.
एसक्यूएल इंजेक्षन नामक दो Add-ons नहीं है मुझे और क्रॉस साइट स्क्रिप्ट मुझे.
वे के रूप में छोटे पक्ष खोल ओर सलाखों.
और मैं करने के लिए जा रहे थे उदाहरण के लिए CS60 -
तो यह क्या करता है यह लग रहा है सभी रूपों के लिए है कि -
उम्मीद है, मैं नहीं मिलेगा इस के लिए मुसीबत में.
>> लेकिन ठीक है.
यहाँ पिन प्रणाली है.
तो मैं में छेद के लिए तलाश शुरू प्रणाली, पहली बात मैं है
इस खूबसूरत थोड़ा ऊपर खुला ओर उपकरण.
और मैं रूपों का परीक्षण करने जा रहा हूँ ऑटो हमलों के साथ.
और तो क्या करता है यह धीरे धीरे होगा ब्राउज़रों की एक गुच्छा ऊपर खुला.
यहाँ ब्राउज़रों की एक गुच्छा है.
और यह हर एक संयोजन कोशिश कर रहा है क्रॉस साइट स्क्रिप्टिंग का
वहाँ संभवतः है, अगर है कि आप तरफ देखते हैं.
>> और यह मुझे एक परिणाम दे देंगे क्या जवाब है की तरह.
सभी गुजरती हैं.
जाहिर है, वे सभी गुजरती हैं.
मेरा मतलब है, वे वास्तव में चालाक हो वहाँ लोग.
लेकिन अगर मैं थे चलाने के लिए -
मुझे लगता है मैं इस दौड़ से पहले जब समय मिला है छात्रों की अंतिम परियोजनाओं पर.
मैं बस के साथ सुई एसक्यूएल चलाने सब अलग अलग हमलों.
और यह एसक्यूएल इंजेक्षन करने के लिए कोशिश कर रहा है इस पिन सर्वर.
हम नीचे स्क्रॉल हैं, तो के लिए उदाहरण के लिए, यह कहते हैं -
यह रिटर्न अगर यह अच्छा है.
>> तो यह कुछ निश्चित मूल्यों का परीक्षण किया.
और सर्वर लौटे कोड है कि नकारात्मक था.
अस्थायी रूप से निकालें.
यह अच्छा है.
यह सब इन परीक्षणों की कोशिश करता है.
तो अगर आप बस चला सकता है -
मुझे लगता है मैं एक वेबसाइट असली मिल सकता है त्वरित कि मुझे देना होगा -
शायद CS50 दुकान.
>> वाह, यह जा रहा है रास्ता बहुत लंबा ले.
मैं दूँगा पहला परीक्षण सही खत्म नहीं.
इसलिए यह शिकायत है.
तो इन तीन बातें कर रहे हैं.
इन उपकरणों के लिए स्वतंत्र हैं.
आप उन्हें डाउनलोड करने और उन पर चला सकते हैं अपनी वेबसाइट, और यह आपको बता देगा अगर
आप क्रॉस साइट स्क्रिप्टिंग है, यदि आपके पास तुम, एसक्यूएल है अगर
जैसे की कुछ.
मैं एक तरह से खिलवाड़ कर रहा हूँ.
>> क्या जरूरी है -
ठीक है, तो उपयोगकर्ता पर भरोसा नहीं.
आप को जो भी उपयोगकर्ता आदानों, बनाना सुनिश्चित करें कि आप यह साफ करता है, तो आप इसे साफ,
आप सही चीजों के लिए जाँच, यह तुम क्या आप दे रही है कि
उसे आप देना चाहते हैं.
हमेशा पर अद्यतन किया क्या व्यवस्थाएं आप वास्तव में उपयोग कर रहे हैं.
- आप बूटस्ट्रैप तरह से कुछ का उपयोग करते हैं
मैं तुम लोगों का उपयोग करने के लिए जा रहे हैं वह जाने के लिए जा रहा है क्योंकि bootstrap
पर इस जल्द ही कक्षा में -
और WordPress या ऐसा कुछ, सामान्य रूप से इस काट दिया जा सकता है.
>> और फिर आप यह भी नहीं पता.
तुम सिर्फ अपनी वेबसाइट चला रहे हैं.
और यह पूरी तरह सुरक्षित है.
और तुम नीचे जाना.
इसलिए मैं वास्तव में जल्दी मछली पकड़ने हूँ.
लेकिन मैं Pentest लैब्स का शुक्रिया अदा करना चाहता हूँ.
मैं तुम लोगों को कुछ दिखाने के लिए जा रहा हूँ Pentest लैब्स कहा जाता है.
तुम लोग वास्तव में रुचि रखते हैं सच है, एक क्या वहाँ सुरक्षा
Pentest लैब्स अगर कहा जाता वेबसाइट तुम लोग अभी तक चलते हैं.
ओह, ठीक है, कि यह नहीं है.
मैं सिर्फ इस तरह इसे चलाने के लिए जा रहा हूँ.
गूगल मुझे जवाब बताता है.
>> ठीक है.
और यह आप का उपयोग सिखाता है - तो यह कहते हैं, वेब पैठ सीख
सही तरीके से परीक्षण.
यह आपको सिखाता है -
उम्मीद है, आप एक नैतिक व्यक्ति हैं.
लेकिन यह आप पर देख सकते हैं कि कैसे आप सिखाता है आप वेबसाइटों के अंदर कैसे मिल सकता है.
और आप सीखना अगर आप अंदर कैसे मिल सकता है वेबसाइटों, आप सीख सकते हैं कि कैसे करने के लिए
हो रहा से अपने आप को बचाने अंदर वेबसाइटों.
मुझ में ज़ूम चलो शायद आप लोग क्योंकि इस अधिकार में नहीं दिख रहे हैं.
>> SQL इंजेक्शन से तो, खोल एक तरह से मैं एसक्यूएल से कैसे मिल सकता है
खोल करने के लिए इंजेक्शन.
और तुम इस आभासी मशीन को डाउनलोड करें.
और आभासी मशीन पहले से ही आता है आप कर रहे हैं कि वेबसाइट के साथ
इस पर कोशिश की जा रही.
आप इस पीडीएफ डाउनलोड करें.
और यह लाइन द्वारा आप रेखा क्या दिखाएगा क्या आप जाँच क्या, क्या करना है.
यह क्या एक हमलावर वास्तव में है एक वेबसाइट के अंदर प्राप्त करने के लिए करता है.
>> और इस सामान में से कुछ जटिल है.
मुझे लगता है मैं अधिक से अधिक जा सकते हैं तुम लोगों के साथ बातें.
लेकिन मुझे चिंता है कि तुम लोग वास्तव में नहीं है -
इस के साथ मैं खत्म हो गया था क्या है तुम लोग, वेब परीक्षण
प्रवेश के परीक्षण के लिए.
सच में नहीं पता क्या एसक्यूएल है और क्या -
कार्ल जैक्सन की संगोष्ठी साथ ही कमाल है.
तुम लोग तरह पता नहीं है यह क्या की.
लेकिन अगर आप इस वेबसाइट पर जाने के, और इन ट्यूटोरियल और इन डाउनलोड
PDFs, आप की तरह पर एक नज़र ले जा सकते हैं सुरक्षा के क्षेत्र वास्तव में क्या करता है
प्रवेश के परीक्षण में, कैसे देखते हैं आप कर सकते हैं अंदर वेबसाइटों पाने के लिए और रक्षा
यह अपने आप से.
>> तो मैं एक सुपर त्वरित अवलोकन करते हैं, यह क्रॉस साइट स्क्रिप्टिंग रोकने हो जाएगा.
आप htmlspecialchars हर उपयोग करना चाहते हैं उपयोगकर्ता आदानों कुछ समय है.
SQL इंजेक्शन को रोकने के.
अगर तुम ऐसा करोगे, तुम पहले से ही कर रहे हैं हार्वर्ड था की तुलना में बेहतर बंद
वे का उल्लंघन किया गया है.
और अपने पासवर्ड बनाना सादे पाठ में नहीं हैं.
सुनिश्चित करें कि आप ऐसा एक रास्ता हैश न केवल बनाओ उन्हें लेकिन आप तहखाना का उपयोग करने वाले, पीएचपी
मैं तुम लोगों को पता चला कि समारोह.
इस तरह, आप अच्छा होना चाहिए.
>> अपने मित्रों चलो इसके अलावा, अगर आप चलाने अपनी वेबसाइटों पर सुई एसक्यूएल.
भागो क्रॉस साइट स्क्रिप्टिंग अपनी वेबसाइटों पर.
और आप इन वेबसाइटों की एक बहुत देखेंगे कमजोरियों का एक टन है.
यह ज्यादा लोग भूल जाते हैं कि कैसे अविश्वसनीय है अपने डेटाबेस को स्वच्छ बनाना या बनाने के लिए
यकीन है कि क्या व्यक्ति के inputting स्क्रिप्ट कोड नहीं है.
ठीक है.
मैं एक तरह से वास्तव में जल्दी समाप्त हो गया.
लेकिन किसी को भी इस बारे में कोई सवाल है अगर कुछ भी, आप मुझे एक प्रश्न शूट कर सकते हैं.
हाँ.
जाओ, जाओ.
>> दर्शक: मैं सिर्फ पूछना चाहता हूँ, आप फ़ाइल की व्याख्या कैसे कर सकते हैं
वास्तव में काम करता है अपलोड करें.
>> लुसियानो Arango: हाँ.
तो मुझे आप फाइल दिखाने असली जल्दी अपलोड करें.
तो फाइल अपलोड करें -
समस्या फाइल अपलोड बुद्धि अब ठीक है कि -
मैं तो आप लोगों को कोड खोलने के लिए जा रहा हूँ पर्दे के पीछे कोड देखें.
और इसे अपलोड कर रहा है.
यहाँ फाइल अपलोड करने वाले के लिए एक कोड है.
>> हम इस में जाने की कोशिश कर रहे हैं यहाँ पर निर्देशिका.
और हम कोशिश कर रहे हैं कि हम इनपुट एक बार फ़ाइल, isset फ़ाइल - तो जब एक वहाँ है
तो, फाइलें, उस छवि में फाइल हम इसे यहाँ ले जाने की कोशिश.
हम यहाँ पर फ़ाइल हड़पने.
विधि पोस्ट, प्रकार, छवि, फ़ाइल है.
और हम इस फाइल को भेज रहे हैं.
और फिर हम इसे पाने के लिए एक बार, तो एक बार फाइल एक छवि है, हम इसे भेजने के लिए कोशिश कर रहे हैं
इस निर्देशिका के लिए.
>> समस्या वेबसाइट नहीं है , मुझे इस निर्देशिका के लिए जाने दे
यह मुझे वापस जाना नहीं चाहता है क्योंकि.
यह मेरे जाने के लिए नहीं चाहता है -
मुझे जाना है - तो यहाँ अपलोड है.
यहाँ छवियों है.
मैं पूरी तरह वापस लिए जाने की जरूरत तो शुरुआत है और वहाँ में डाल दिया और
जाओ और निर्देशिका में डाल दिया.
मैं एक टर्मिनल विंडो चल रहा था तो अगर, और मैं एक फ़ाइल स्थानांतरित करना चाहता था -
[सुनाई]
इसे देख सकते हैं.
मैं एक फ़ाइल स्थानांतरित करने के लिए चाहता था, मैं है फिर फ़ाइल का नाम डाल दिया है और करने के लिए
पूरा पथ मैं यह करने के लिए भेजना चाहते हैं.
>> और उसके बाद सर्वर नहीं है मुझे वापस जाने दे.
और इसलिए यह नहीं दे रहा है मुझे लगता है कि फाइल करने के लिए मिलता है.
लेकिन सामान्य रूप से -
ऐसा करने के लिए एक कोड है एक फाइल अपलोड.
तो सामान्य रूप से क्या होगा है कि व्यक्ति की जाँच नहीं है अगर मेरी फाइल
. JPEG के साथ समाप्त होता है, तो मैं जाँच करना चाहते हैं.
मुझे बहुत जल्दी असली एक उदाहरण खोलते हैं.
>> ठीक है.
इस व्यक्ति को सही -
तो उदाहरण के दो जाँच कर रहा है preg_match हैं -
यहाँ यह यहाँ है -
यकीन है कि के साथ समाप्त होता है बनाने के लिए अच्छा है जो पीएचपी,.
यह अच्छा है.
लेकिन एक असली बड़ा नहीं है इस के साथ समस्या.
यह अच्छा है.
लेकिन मैं एक फ़ाइल नाम डाल रहे थे myfavoritepicture.php.jpeg, मैं कर सकता
अभी भी संभावित JPEG से छुटकारा पाने के और यही है PHP खतरनाक it.k चलाते हैं.
आप व्यक्ति सक्षम होने के लिए नहीं करना चाहती अपनी वेबसाइट पर कोड चलाने के लिए.
>> लेकिन तब. JPEG इसे पारित करने देता है.
विचार है कि आप वास्तव में क्या करना चाहते है फाइलें, ए लेकिन, ठीक है, नहीं ले रहा है
आप वास्तव में क्या करना चाहते हैं सुनिश्चित करें कि है आप पूरी दुनिया भर में पढ़ा.
और कुछ नहीं है. यह PHP में.
में नहीं. PHP नहीं है पूरी फाइल नाम.
>> दर्शक: लेकिन तुम सकता है डाला. JPEG अंत पर.
सर्वर अभी भी कोड को चलाने.
>> लुसियानो Arango: नहीं, यह नहीं होगा शुरुआत में चलाते हैं.
तुम वापस जाने के लिए और प्रयास करने के लिए है आप कर सकते हैं देखने के लिए -
>> दर्शक: तो हम करने के लिए है -
ठीक है, शामिल है कि सिर्फ एक सेट -
>> लुसियानो Arango: हाँ.
>> दर्शक: ठीक है.
>> लुसियानो Arango: हाँ.
ठीक है.
अन्य प्रश्न?
ठीक है.
मैं इस पर छोड़ती और सॉर्ट करने के लिए जा रहा हूँ की तुम लोग कर सकते हैं देखने की कोशिश -
अन्य लोगों को थोड़ा और अधिक कर रहे हैं वे बहुत आवश्यकता है जटिल है क्योंकि
से SQL का अधिक ज्ञान बस वेब एसक्यूएल की शुरुआत ज्ञान है और
क्या जावास्क्रिप्ट है.
लेकिन मैं इस रखने के लिए प्रयास करने के लिए जा रहा हूँ और उम्मीद है कि तुम लोगों को सीखना होगा
इस बारे में और पर एक तिरछी नज़र ले जाने की कोशिश क्या आप कर सकते हैं और कितने उदाहरण
आप के माध्यम से प्राप्त कर सकते हैं.
>> किसी को भी किसी भी अन्य है इसके बारे में प्रश्न?
आगे बढ़ो.
हाँ, शूट, शूट.
हाँ, आगे बढ़ो.
आगे बढ़ो.
>> दर्शक: ठीक है.
तो मैं के बारे में सुना कैसे मेजिक कोट्स पर्याप्त सुरक्षित नहीं हैं.
>> लुसियानो Arango: क्या -
मेजिक कोट्स?
>> दर्शक: हाँ.
तो यह कहते हैं - इसलिए जब भी आप निवेश कुछ, यह हमेशा उद्धरण कहते हैं.
>> लुसियानो Arango: हाँ.
हाँ.
ठीक है.
>> दर्शक: और फिर मैं हालांकि, कि काम लेकिन तब मैं इसे खोजा.
और यह अच्छा नहीं है कहा.
लेकिन मैं यकीन है कि क्यों नहीं कर रहा हूँ.
>> लुसियानो Arango: हाँ.
>> दर्शक:, मेजिक कोट्स का उपयोग न करें यह सुरक्षित नहीं है क्योंकि.
>> लुसियानो Arango: ठीक है.
आप SQL सम्मिलित करते हैं तो मेजिक कोट्स है और यह पहले से ही आप के लिए भाव कहते हैं.
>> दर्शक: यह हमेशा उद्धरण कहते हैं आप अंदर डाल चारों ओर जो भी
>> लुसियानो Arango: हाँ.
तो उस के साथ समस्या यह है कि -
मैं पर एक नज़र रखना होगा -
>> दर्शक: यह कैसे हासिल करता है एसक्यूएल बयान?
या मैं यह हो सकता है जैसे भाव का चयन करें.
>> लुसियानो Arango: हाँ, आप की जरूरत एसक्यूएल के लिए अच्छा उद्धरण.
>> दर्शक: नहीं, लेकिन सर्वर यह तुम्हारे लिए है.
>> लुसियानो Arango: इन छोटे उद्धरण यहीं, इन छोटे उद्धरण?
>> दर्शक: हाँ.
>> लुसियानो Arango: हाँ.
समस्या यह है कि तुम कर सकते पिछले बाहर टिप्पणी -
ठीक है, तो मैं क्या कर सकता है मैं इस पर टिप्पणी कर सकते हैं बाहर - तो चलो पर एक नज़र रखना - मुझे जाने
एक पाठ संपादित फ़ाइल खोलें.
मुझे तो बस इस संपादित करने दें यहीं सीधे.
ठीक है.
तुम लोगों को स्पष्ट रूप से देख सकते हैं कि?
क्या मैं कर सकता हूँ मैं टिप्पणी कर सकते है पिछले एक बाहर.
यह पिछले एक बाहर टिप्पणी करेंगे.
और फिर मैं शब्दों में कहें, यहाँ एक डाल देता हूँ यहां सभी दुर्भावनापूर्ण सामान.
>> तो उपयोगकर्ता वास्तव में है सही, inputting?
उपयोगकर्ता इनपुट नहीं है बातें, है ना?
यह मैं के रूप में निवेश करने के लिए जा रहा हूँ क्या है अंदर पाने के लिए कोशिश कर रहा व्यक्ति.
मैं में डाल करने के लिए जा रहा हूँ -
कि एक उद्धरण चिह्न है.
यह गलती से अभी squiggly है.
और फिर क्या कोड क्या करने जा रहा है -
क्षमा करें, मैं इस बाहर ले जा रहा हूँ.
क्या कोड में क्या करने जा रहा है यह पहला जोड़ने के लिए जा रहा है
उद्धरण यहां के निशान.
और यह पिछले जोड़ने के लिए जा रहा है उद्धरण चिह्न के रूप में अच्छी तरह से.
>> और यह भी जोड़ने के लिए जा रहा है पिछले है, पिछले उद्धरण चिह्न.
लेकिन मैं इन उद्धरण टिप्पणी हूँ बाहर के निशान है, इसलिए वे नहीं चला है.
और मैं इस उद्धरण खत्म कर रहा हूँ यहाँ पर निशान.
क्या तुम समझते हो?
तुम खो रहे हैं?
मैं पिछले उद्धरण टिप्पणी कर सकते हैं मार्क, और का ख्याल रखना
पहली उद्धरण चिह्न.
>> दर्शक: और बस खत्म पहले एक.
>> लुसियानो Arango: हाँ.
और सिर्फ पहले एक खत्म.
हाँ, यह सही है.
यही तो मैं क्या कर सकता है.
हाँ.
ऐसा कोई अन्य प्रश्न?
यह एक बड़ा सवाल है.
नहीं, हाँ, शायद.
उम्मीद है, तुम लोगों को एक तरह से कर देगा आप SQL और अध्ययन जब अधिक समझ
इस तरह बातें.
लेकिन आपको यह सुनिश्चित करना -
घड़ी में इन उपकरणों रखना.
क्षमा करें, यहाँ पर इन उपकरणों.
इन उपकरणों महान हैं.
किसी को भी किसी भी सवाल है, तुम भी मुझे ईमेल कर सकते हैं.
यह मेरी सामान्य ईमेल है.
और यह मेरे काम ईमेल है जो मैं समुद्र में काम करते समय है.
>> ठीक है, धन्यवाद.
धन्यवाद, दोस्तों.
तुम जाने के लिए अच्छे हैं.
आप यहाँ रहने के लिए नहीं है.
ताली मत करो.
यह अजीब है.
ठीक है, धन्यवाद, दोस्तों.