>> Luciano Arango: OK, djema.
Emri im është Luciano Arango.
Unë jam një i paedukuar mjaft në Adams House.
Dhe ne do të jetë duke folur për sigurisë web mbrojtjes aktive.
Kështu që unë punoj për Zyrën e Informacionit Siguria në dete.
Dhe gjatë verës, unë internuar në SeguraTec, e cila ishte një informacion
kompani e sigurimit që ka shërbyer për Bankën e Columbia.
Kjo është kryesisht ku kam mësuar ajo që unë kam mësuar deri më tani.
>> Dhe kështu disa nga materialet që jeni do të shkoj për sot, ne nuk kemi
biseduar me të vërtetë për në klasë.
Por ne do të së shpejti.
Ajo do të jetë si SQL, JavaScript.
Dhe ne nuk kemi shkuar me të vërtetë mbi të.
Kështu që unë mund të lloj të fluturimit nëpërmjet saj, dhe ju nuk mund të di disa gjëra.
Por shpejt, ju do të mësoni atë.
Dhe kjo do të të gjithë kuptim.
Gjithashtu një tjetër gjë -
qëndrojnë etike.
Disa nga gjërat që ju të mësoni, ju mund të përdorin në mënyra jo-etike.
>> Nëse është e juaja, patjetër provoni.
Unë patjetër të motivuar ju djema për të provoni serverat tuaj, provoni
duke shkuar brenda tyre.
Shihni nëse mund të depërtojnë ata, në qoftë se ju mund të merrni brenda tyre.
Por jo dikush tjetër është.
Policët nuk e vërtetë si shaka dhe e tërë, ne kemi vënë këtë këtu.
Ne u messing rreth.
Ata me të vërtetë të zemëruar.
>> Pra, kokë e në këtë website.
Unë kam të hapur të drejtë këtu.
Kjo është një faqe interneti, dhe kjo ka një bandë e shembuj.
Çfarë ndodh është se shembulli i parë është lloj i do të jetë shumë më e lehtë
se shembullin e fundit në një kuptim se shembulli i parë
është plotësisht i pasigurt.
Dhe e fundit është lloj i asaj që një person normal të sigurisë web do të bëjë.
Por ju prapë mund të lloj të marrë rreth se.
Dhe ne jemi duke shkuar për duke u fokusuar në një dhe dy, shembuj një dhe dy.
>> OK.
Le të fillojmë me cross-site scripting.
JavaScript është e drejtuar në Shfletuesi e klientit.
Kjo është një gjuhë programimi që ju përdorni për të kandiduar në shfletuesin e klientit në mënyrë
ju nuk keni për të rinovuar faqen e internetit dhe të kthehemi në server.
Ju keni atë running.
Për shembull, Facebook, ju nuk keni të rifreskoni faqen e internetit për statusin e ri
më të reja për të dalë.
Është përdorur JavaScript për të gjeneruar të gjitha këto gjëra.
Pra, ne mund të merr injeksion me qëllim të keq JavaScript në faqet e internetit.
Dhe në këtë mënyrë, kur të dërgoni një lidhje për të dikush, ne mund të lloj dërgoni me
disa të kodit që ne duam.
>> Ka vazhdueshme dhe jo të vazhdueshme JavaScript -
vazhdueshme dhe jo-të vazhdueshme ndër-faqen scripting, dua të them.
Dhe dallimi është se vazhdueshme është JavaScript që do të jetë
ruhen në faqen e internetit.
Dhe jo të vazhdueshme do të jetë JavaScript që në të vërtetë do të ndodhë vetëm një herë.
Pra, le të shohim një shembull vërtetë të shpejtë.
>> OK.
Pra këtë website, thjeshtë, asgjë nuk ndodh këtu.
Dhe ne do të përpiqemi për të futur ndonjë JavaScript.
Pra, mënyra se si filloni të shkruani JavaScript po ne fillim me shkrimin fillim.
Dhe ne mbyllim atë me shkrimin.
Ne jemi thjesht duke shkuar për të vënë një mesazh -
Unë do t'ju tregoj -
vigjilent.
Alert është një funksion që JavaScript përdor për të shfaqur diçka.
Pra, le të provoni të shpejtë të vërtetë.
Unë jam duke shkuar për të shkuar, përshëndetje vigjilent.
E pra, kam harruar për të vënë -
OK.
Pra, kjo është e thjeshtë.
>> Ne kemi vënë JavaScript në një faqe interneti, dhe ai doli.
Dhe kjo lloj ndodh vetëm në faqen tonë të internetit, e drejtë?
Pra, duket sikur nuk është një problem, apo jo?
Unë do të thotë, se si mund ta përdorni kjo me keqdashje?
Pra, mënyra se hakerat bëjnë kjo është me të vërtetë e thjeshtë.
Ata do të rrëmbej atë.
Ata mund të dërgoni këtë lidhje për ju.
Nëse unë do të dërgoj këtë link për ju tani për tani, dhe ju të hapur atë, ajo do të
thonë, hello, duke thënë se faqja ime është thënë ju përshëndetje.
>> Dhe kështu që nëse unë do të them diçka pak më të zgjuar, në qoftë se unë tërheq lart një
JavaScript Funksioni I lloj i tashmë e ka shkruar -
por në qoftë se ju shikoni në atë, unë do të shkoj mbi të para se kam shkruar atë.
Pra, ne jemi duke shkuar për të vendosur një timeout.
Ne jemi duke shkuar për të pritur nja dy sekonda.
Në fakt, ne do të presim, nëse Unë nuk jam i gabuar, pesë sekonda.
Kjo shkon në milisekonda.
Dhe pastaj ajo që ne jemi duke shkuar për të bërë është që ne jemi duke shkuar për të njoftuar se login
mbaroi koha të hyni përsëri in
Dhe ne jemi duke shkuar për të ndryshuar vendin në një vend tjetër.
>> Pra, nëse unë dërgoj këtë faqe interneti për dikë, ata do të jenë të
shikuar përreth, të qetë.
Asgjë nuk po ndodh.
Dhe në pesë sekonda, ajo do për të thënë, login juaj mbaroi koha.
Ju lutem, hyni përsëri in
Pasi ata klikoni OK, unë jam duke shkuar për t'i çuar në një faqe interneti.
Me sa duket, në faqen e internetit do të të jenë të ngjashme me faqen e internetit që
ata ishin në para.
Dhe ata do të hyni e tyre Kredencialet Në web faqen time në vend të
faqen e internetit e tyre.
>> Dhe kështu që unë mund të dërgoni njerëz një email me këtë link.
Unë them, oh, këtu është një lidhje.
Kjo është një bankë, për shembull.
Unë them, këtu, shko ne kete link.
Dhe një herë ata dërgojnë atë, ata janë do të jetë duke shikuar përreth.
Unë mund të prisni për 15 sekonda, 20 sekonda, dhe pastaj pop që ju lutem hyni përsëri në
nënshkruajë përsëri në.
Ju djema mund ta provoni atë me shumë më shumë gjëra.
Është e komplikuar për shkak se ju djema nuk e kanë parë JavaScript, kështu që ju mund
nuk e di se disa funksione.
Por të gjithë ju duhet të bëni është të fillojë me shkrimin, të përfundojë me shkrimin.
Dhe ju mund të vënë çdo gjë në mes.
>> Alert është një funksion, prisni për.
Vendndodhja Window ju merr në një vend të ri.
Por ju mund të bëni shumë më shumë.
Dhe kështu ideja është që kemi marrë atë jashtë.
Nëse unë shkoj për shembull dy, dhe unë vënë në këtë kod të njëjtë, është e
nuk do të punojnë.
Pra, është e shtypjes çdo gjë jashtë për shkak se çfarë ky website fillimisht
nuk është në qoftë se kam vënë asgjë këtu, ajo do të shtypura atë të drejtë këtu.
Pra, kjo nuk është shtypje asgjë jashtë.
Ky shembull është në të vërtetë duke kontrolluar për të parë nëse dorëshkrim është atje.
Pra, vërtet, të shkojnë përpara.
Pyetni mua.
>> Audienca: A nuk është dërguar një të marrë ose të postoni kërkesë?
>> Luciano Arango: Po. ata janë dërguar një kërkesë të merrni.
>> Audienca: Kjo është?
>> Luciano Arango: Po.
Gjithashtu shfletues përdorni kërkesa postare.
Por unë jam duke u përpjekur për të treguar kërkesat marrë kështu që ne mund të shohim se çfarë është
në të vërtetë ndodh.
Dhe kështu nëse ne shikojmë në këtë kod - kështu që nuk është duke punuar më.
Dhe në qoftë se ne bëjmë një vështrim në këtë kod, ajo do të jetë në shembull dy.
Ajo që ky person është duke bërë, personi i në krye të këtij shfletuesit -
hapur, OK -
po zëvendëson fjalën script.
Kjo është e PHP, e cila ju djema mund kanë parë pak ende.
>> Ai është vetëm duke zëvendësuar script fjalë me emrin.
Pra megjithatë, kur të shkoj përpara dhe vetëm vënë në -
në qoftë se unë kap kodin tim përsëri, dhe unë jam duke shkuar për të modifikuar atë vetëm pak.
Në vend të shkrimit, unë jam duke shkuar për të ndryshuar ajo për skenar me një kapital R. Dhe
ne jemi duke shkuar për të parë nëse ky kod punon.
Kështu që nuk ka të shtypura it out, e cila është një shenjë e mirë.
Dhe shpresojmë se në dy sekonda më shumë, ajo do të pop-up.
>> Login juaj mbaroi koha.
OK.
Nuk ka problem.
Pra, duke kontrolluar për skenar mund jo domosdoshmërisht të punuar.
Personi -
ai gjithashtu mund të shikoni për uppercase script, vogle script, rasti str
krahasoni, sigurohuni që ata janë të njëjta.
Por hacker ende mund të bëjë atë lloj të ne e bëmë në Vigenere kur kemi lëvizur
karaktere përsëri një çift, të ecur përpara.
Dhe kjo mund të kuptoj se si të vënë script kthehet në atje kështu që mund të injektuar
se script.
>> Pra, ajo që ju doni të përdorni është htmlspecialchars të
të mbrojtur faqen tuaj te internetit.
Dhe ajo që kjo nuk është ajo e bën i sigurt se ajo që keni vënë në -
për shembull, citatet apo kjo më e madhe se ose me pak se -
është zëvendësuar me diçka se nuk do të jetë -
më lejoni të zoom në këtu -
simbol aktuale.
Ajo do të zëvendësojë ato HTML veçantë karaktere që ne do të shohim kur jemi
duke folur për -
oh, kjo do të marrë më mbrapa për të -
këto karaktere të drejtë këtu.
>> Këto të ditur se diçka po vjen.
Për HTML, këtë parantezë duke filluar na tregon se diçka
HTML lidhur po vjen.
Dhe ne duam që të heqin qafe këtë.
Ne nuk duam të vënë HTML në një website.k Ne nuk duam përdoruesit të jenë të
në gjendje për të vënë diçka në web faqen e tyre që mund të ndikojë në faqen e tyre, si
script ose HTML ose diçka të tillë.
Çfarë është e rëndësishme është që të ju Sanitize input të përdoruesit.
>> Pra, përdoruesit mund të dhëna shumë gjëra.
Ai mund të dhëna një bandë e stuff për ta provuar për mashtrim në shfletuesin tuaj ende
duke këtë kod script.
Çfarë doni të bëni është jo vetëm shikoni për shkrimin, por shikoni për çdo gjë
që mund të jetë me qëllim të keq.
Dhe htmlspecialchars do të bëjë që për ju, kështu që ju nuk keni
për t'u shqetësuar në lidhje me të.
Por nuk do të përpiqet për të bërë me veten lloj me kodin tuaj.
A është e qartë për të gjithë XSS?
>> OK.
Le të shkojnë në SQL injeksion.
Pra SQL injeksion është ndoshta Numri një dobësi
në faqet e internetit të ndryshme.
Unë do të thotë, një shembull të mirë -
Unë kam qenë vetëm studjon shkuar edhe më për këtë gjë.
Dhe kam gjetur këtë artikull tmerrshëm, ku Unë pashë se Harvard u shkelur,
ishte hacked.
Dhe unë u pyesin, mirë, si do ata e bëjnë këtë?
Harvard është më e tmerrshme, më të siguruar universitetin ndonjëherë.
E drejtë?
E pra, për të shkelur servers, hakerat përdorur një
teknikë të quajtur SQL injeksion.
>> Pra, kjo ndodh në një ditë në baza ditore.
Njerëzit harrojnë për të marrë parasysh për SQL injeksion.
Harvard bën.
Unë mendoj se ai thotë se këtu, Princeton, Stanford, Cornell.
Pra, si nuk kemi - kështu që çfarë është kjo SQL injeksion që është duke sjellë të gjitha këto
njerëzit poshtë?
OK.
Pra SQL është një gjuhë programimi që ne i përdorim për të hyrë në bazat e të dhënave.
Ajo që ne bëjmë është që të zgjidhni -
kështu që ajo që ky lexon tani është të zgjidhni çdo gjë nga tabela.
>> SQL, ajo ndryshon në këto baza të dhënash që kanë tabela të plotë të informacionit.
Pra, zgjidhni çdo gjë nga përdoruesit ku emri është emri i përdoruesit.
E drejtë?
Mjaft e thjeshtë.
Ideja e SQL injeksion është se ne futur disa të dëmshme që do të
mashtrim server running në diçka të ndryshme se ajo që
fillimisht ishte running.
Pra, le të themi për emrin, ne kemi vënë në ose 1 është e barabartë me 1.
Pra, ne kemi vënë në ose 1 është e barabartë me 1.
Mënyra se si do të lexoni tani do të jetë i zgjedhur nga përdoruesit, çdo gjë nga
përdoruesit - kjo është çdo gjë -
ku emri është emri i përdoruesit, por emri i përdoruesit është ose 1 është e barabartë me 1.
>> Pra, emri nuk është asgjë ose 1 është e barabartë me 1.
1 është e barabartë me 1 është gjithmonë e vërtetë.
Pra, kjo gjithmonë do të kthehen informacion nga përdoruesit.
OK.
Ne nuk duhet të kemi emrin e saktë.
Ne vetëm mund të ketë ndonjë gjë që ne duam, dhe ajo do të kthehet informacione
që ne kemi nevojë.
Le të shikojmë një shembull tjetër.
>> Në qoftë se ne kemi zgjedhur çdo gjë nga përdoruesit, ku emri i përdoruesit është TABELA DROP -
kështu që çfarë mendoni ju kjo do të bëj në qoftë se kam vënë në emrin e përdoruesit
si përdorues DROP TABELA?
Çdokush keni një ide?
Po.
>> Audienca: Ajo do të tregojë ajo për të hale të gjitha tabelat.
>> Luciano Arango: Ajo do të na tregoni për të hale çdo gjë në faqen e internetit,
çdo gjë në bazën e të dhënave.
Dhe ajo që njerëzit e përdorin këtë për - kështu Unë jam duke shkuar për të treguar ju djema.
Unë me aftësi të kufizuara në rënie tabelat sepse unë nuk dua që ju
djema për rënie tavolina e mia.
Le të hidhni një sy në këtë.
Pra, kjo thjesht tërheq deri informacionin për një person të caktuar.
Pra, si mund ta dimë nëse kjo është prekur nga SQL injeksion.
Ne jemi duke shkuar për të kontrolluar të shpejtë të vërtetë në qoftë se ne mund të vënë diçka -
më lejoni të kopjuar këtë kod.
Unë jam duke shkuar për të shkuar mbi të në një të dytë.
Unë jam duke shkuar për të vënë rrënjë dhe 1 është e barabartë me 1.
>> Kjo e drejtë këtu, kjo qind shenjë 23 -
çfarë është me të vërtetë, në qoftë se unë duket e drejtë këtu në -
mënyra HTML merr në numër, në qoftë se ju marrë një vështrim në kur unë vë në një hapësirë ​​të
këtu - në qoftë se unë do të diçka të hapësirës këtu, ajo ndryshon atë në një për qind 2.
A e shihni këtë ju djema të drejtë këtu kur kam vënë në një hapësirë?
Mënyra se si punon është që ju vetëm mund të dërgoni vlerat ASCII nëpërmjet HTML.
Kështu që ajo zëvendëson, për shembull, një hapësirë ​​me 20 për qind.
Unë nuk e di nëse ju djema kemi parë se më parë.
>> Ajo zëvendëson një hashtag me 23 për qind.
Ne kemi nevojë për një hashtag në fund të ose deklaratë në mënyrë që ne mund të them
bazës së të dhënave për të harruar për të komentuar nga kjo e fundit pikëpresje në fund.
Ne duam që të mos mendojnë për këtë.
Ne vetëm duam që ajo të drejtuar çdo gjë që ne kemi parë dhe
komentojnë se nga.
Le të bëjmë një vështrim në të.
>> Pra, nëse unë do të vënë diçka të gabuar - le të themi për shembull, kam vënë 2 është e barabartë me
1, kjo nuk më jep mua asgjë.
Kur kam vënë në 1 është e barabartë me 1, dhe kjo e bën kthyer diçka, kjo tregon se
kjo është e ndjeshme ndaj një injeksion SQL.
Unë e di tani se çdo gjë që I vënë pas kësaj -
dhe për shembull, DROP TABELAT ose diçka të tillë
patjetër do të punojnë.
Unë e di se është e ndjeshme ndaj SQL injeksion sepse unë e di se
nën kapuç, është lënë bëj 1 është e barabartë me 1 gjë.
OK?
>> Dhe nëse ne shikojmë këta të tjera, numër dy dhe numri tre, është e
do të bëjë pak më shumë e kontrolluar nën
individualitet e asaj që është.
Pra dikush mundësuar rënie çdo gjë akoma apo provuar?
A ju djema lloj merrni SQL ende?
Sepse unë e di se ju djema nuk kanë parë atë ende, kështu që është lloj i
konfuze për ju djema.
Le të bëjmë një vështrim.
Pra, çfarë është mënyra për të parandaluar SQLI?
OK.
Pra, kjo është me të vërtetë e rëndësishme, sepse ju djema patjetër duan të parandaluar
këtë në faqet e internetit tuaj.
>> Nëse jo, të gjithë miqtë tuaj do të të bëjë shaka me ju, kur ata heqin të gjithë
tavolina tuaj.
Pra, ideja është që ju të riparimin e SQL në një mënyrë të caktuar, kurse ju ndeshje
atë që inputet e përdoruesit me një varg të caktuar.
Pra, rruga punon kjo është që ju përgatisë bazën e të dhënave.
Ju zgjidhni emrin, ngjyra, dhe kalorive nga një bazë të dhënash të quajtur fruta.
Dhe pastaj ku kalori është më pak se, dhe ne kemi vënë një pikëpyetje atje
duke thënë se ne jemi duke shkuar për të dhëna diçka në një të dytë.
>> Dhe ngjyra është e barabartë, dhe ne kemi vënë një pyetje shenjë duke thënë se ne do të
diçka input në një të dytë si.
OK?
Dhe atëherë ne ekzekutuar atë, duke në 150 dhe të kuqe.
Dhe kjo do të kontrollojë për të bërë i sigurt se këto dy -
ky grup do të kontrollojë se këto dy jane nje numer i plote dhe
se ky është një varg.
Pastaj ne do të shkojmë, dhe të shkoj të marr gjitha, ne kemi vënë atë në të kuqe.
Kjo do të thotë që ne të shkoj të marr të gjithë.
Kjo do të thotë që ne të vërtetë të ekzekutuar SQL Deklarata dhe e vuri përsëri në të kuqe.
Këtu kemi të bëjmë të njëjtën gjë, por ne bëjnë të njëjtën për të verdhë.
Dhe ne të shkoj të marr të gjithë.
>> Dhe në këtë mënyrë, ne të parandaluar përdoruesit nga të qenit në gjendje për të dhëna diçka
kjo nuk është ajo që ne e specifikuar, një varg ose një numër i plotë, per shembull.
Unë kam qenë duke folur më parë për duke u mbështetur në të tjerët.
Kur ju djema të fillojë projekti juaj, ju jeni të më patjetër do të përdorin
bootstrap apo diçka të ngjashme.
A ju djema përdorur kurrë Wordpress?
Ndoshta ju djema kanë përdorur Wordpress ka shumë të ngjarë.
Pra, problemi me përdorimin e gjërat e njerëzve të tjerë -
Unë jam vetëm duke shkuar për Quick reale Google Dobësi Wordpress.
>> Nëse unë të tërheqë këtë deri tani -
Unë fjalë për fjalë bëri një dy Google dytë.
Ne mund të shohim se Wordpress -
kjo datë në shtator '12.
26 është përditësuar.
Konfigurimi i parazgjedhur i Wordpress para se 3.6 nuk parandalon këto
Ngarkimet të caktuara, të cilat mund të bëjnë më të lehtë për
cross-site scripting sulmet.
Pra, një histori të shpejtë, një herë ne kemi qenë duke punuar me të - kështu që unë kam qenë, në verë, duke punuar një
stazhit.
Dhe ne kemi qenë duke punuar me lloj të si një kompani kartë krediti të mëdha.
>> Dhe ata mbështeten në diçka të quajtur -
Unë nuk e di nëse ju djema luajtur ndonjëherë me një produkt të quajtur Joomla.
Joomla është një produkt që është përdorur për të kontrollit - lloj i ngjashëm me
Wordpress, e përdorur për të ndërtuar faqet e internetit.
Kështu ata kishin web faqen e tyre duke punuar në Joomla.
Kjo është në fakt një kartë krediti Kompania në Kolumbi.
Unë do të ju merr në e tyre Faqja e internetit të vërtetë të shpejtë.
>> Pra, ata kanë përdorur Joomla.
Dhe ata nuk kishin përditësuar Joomla të fundit të kësaj.
Dhe kështu, kur ne ishim duke marrë një vështrim në Kodi i tyre, ne kemi qenë në gjendje që në fakt
shkoni brenda kodit të tyre dhe të vjedhin të gjitha informacion kartë krediti që ata kishin,
të gjitha numrat e kartës së kreditit, emrat, adresat.
Dhe kjo ishte vetëm -
dhe kodi i tyre ishte i përkryer gjobë.
Ata kishin kodin e madhe.
Kjo ishte e gjitha e sigurisë.
Ata kontrolluar të gjitha bazat e të dhënave.
Ata e bëri të sigurt ndër-faqen scripting ishte mirë.
>> Por ata kanë përdorur diçka që nuk ishte përditësuar, që nuk ishte i sigurt.
Dhe kështu që çoi ata për të - kështu që ju djema janë patjetër do të përdorin të tjera
kod, Kornizat e njerëzve e njerëzve të tjerë për të ndërtuar faqen tuaj te internetit.
Sigurohuni që ata janë të sigurt për shkak se nganjëherë kjo nuk është që ju, ai që
bën një gabim.
Por dikush tjetër bën një gabim, dhe atëherë ju bien poshtë për shkak të kësaj.
>> Fjalëkalime dhe PII.
Pra fjalëkalime.
OK.
Le të bëjmë një vështrim në fjalëkalimet vërtetë të shpejtë.
OK.
Ju lutem më thoni që të gjithë përdor të sigurt -
Unë jam duke shpresuar të gjithë këtu përdor fjalëkalime të sigurta.
Unë jam vetëm duke lënë që në si një supozim.
Pra, ju djema janë patjetër do të dyqan fjalëkalimet për faqet e internetit tuaj.
Ju jeni do të bëjë diçka si një login ose diçka të tillë.
Çfarë është e rëndësishme është që të mos ruajtur passwords në tekst të thjeshtë.
Kjo është shumë e rëndësishme.
Ju nuk doni të ruajtur një regjistrohu në tekst të thjeshtë.
>> Dhe ju patjetër nuk duhet të vërtetë duan për të ruajtur atë në një hash një mënyrë.
Pra, atë që një hash një mënyrë është se kur ju gjenerojë një fjalë, kur të vendosni këtë
Fjala në një funksion hash, ajo do të gjeneruar përsëri një lloj të fshehtë
Mesazhi ose grup i fshehtë i çelësat.
Unë do t'ju tregoj një shembull.
Unë do të hash fjalë password1 ata.
Hash MD5 Pra, do të kthehet më një lloj të informatave të pazakontë.
>> Problemi është se njerëzit atje se si për të shkuar në faqet e internetit kanë
motive tashmë se lloj të gjitha hashes MD5.
Ajo që ata kanë është se ata u ul në e tyre kompjutera, dhe ata sheshuar çdo
fjalë e vetme e mundshme atje deri ata patën lloj i asaj që kjo është.
Nëse unë do të shikojmë këtë ide -
Unë vetëm grabbed këtë hash.
Nëse unë të marrë këtë hash nga -
kur të shkoj në një faqe interneti, dhe unë gjej kjo hash sepse unë shkoj në
bazat e të dhënave, dhe unë shoh atë, dikush tashmë artistikisht it out për mua.
>> Po.
Kështu populli u ul, dhe çfarëdo md5 hash që keni vënë në, ata do të
të kthehet tek ju diçka që është një fjalë.
Nëse unë bej hash një tjetër fjalë, si -
Nuk e di -
trees2.
Unë nuk dua të jenë të pakënaqur Nga kërkimet e mia Google.
Nuk është, trees2.
Pra, një shumë e faqeve ende përdorin md5 hash.
Ata thonë, oh, kjo është e sigurt.
Ne nuk jemi ruajtjen në tekst të thjeshtë.
Ne kemi këtë hash md5.
Dhe të gjitha unë duhet të bëni është vetëm Google numrin.
>> Unë as nuk kanë për të llogaritur veten.
Unë vetëm mund të Google atë, dhe dikush tashmë e bëri atë për mua.
Këtu ka një bandë e tyre.
Këtu ka një bandë e fjalëkalimet.
Pra, definitivisht nuk e përdorin md5 hash, sepse të gjithë ju duhet të
bëni është të Google ajo.
Pra, çfarë ju doni të përdorni në vend?
OK.
Diçka që quhet kriposje.
Pra, çfarë është kriposje -
mendoni ju djema mbani mend kur ishim duke folur për të rastit në -
Unë nuk jam i sigurt se çfarë pset ishte -
ishte ajo pset aty apo katër?
>> Ne ishim duke folur për gjetjen e gjilpërë në kashtë.
Dhe në pset, ajo tha se ju mund të në të vërtetë të kuptoj se çfarë të rastit
gjeneron sepse dikush është tashmë u rastit një milion herë dhe vetëm
lloj formuar atë që ata gjenerojnë.
Çfarë doni të bëni është të vënë në një input.
Pra, kjo është ajo që kriposje lloj është.
Ata tashmë artistikisht se çfarë kriposje kthimit për çdo punë.
>> Pra, çfarë kriposje nuk është ju vënë në një kripë.
Ju vënë në një fjalë të caktuar.
Dhe kjo do të hash atë fjalë në varësi në atë që keni vënë në këtu.
Pra, nëse unë bej hash një fjalëkalimi me këtë fjali, ajo do të hash
ndryshe në qoftë se unë bej hash password1 me një fjali të ndryshme.
Ai lloj i jep atë diku në fillojnë për hashing për të filluar.
Pra, kjo është një shumë e vështirë për të llogaritur, por ju ende mund të llogaritin atë, veçanërisht
në qoftë se ju përdorni një kripë të keq.
>> Njerëzit tashmë kanë motive edhe jashtë kripërat e përbashkëta dhe motive nga
atë që ajo është.
Kripëra të rastësishme janë shumë më mirë, por mënyra më e mirë është që të përdorin
diçka që quhet Crypt.
Dhe çfarë Crypt ju lejon të nuk - kështu që këto funksione janë
ndërtuar tashmë për ju.
Shumë njerëz harrojnë se, ose të ata harrojnë të përdorin atë.
Por në qoftë se unë të kërkoni PHP Crypt, dhomë të nëndheshme të tashmë kthen një varg hash për mua.
Dhe ai në fakt kripëra atë shumë herë dhe hashes atë shumë herë.
>> Pra, ne nuk kemi për të bërë këtë.
Pra, të gjithë ju duhet të bëni është të dërgoni atë në dhomë e nëndheshme.
Dhe kjo do të krijojë një hash të madh pa ju ka për t'u shqetësuar për kripë
apo ndonjë gjë.
Sepse në qoftë se ju do të kripë atë, ju keni të mbani mend çfarë keni përdorur kripë
sepse në qoftë se jo, ju nuk mund të merrni tuaj regjistrohu mbrapa pa
kripë që keni përdorur.
OK.
>> Dhe gjithashtu të identifikueshme personale informacionit.
Pra siguria sociale, kartë krediti - kjo është shumë e qartë.
Por ndonjëherë njerëzit harrojnë mënyrën se vepra është, se sa shumë informata ju
në të vërtetë duhet të gjeni disa një person?
Dikush bëri një studim në lidhje me kjo një mënyrë prapa.
Ajo ishte e ngjashme, në qoftë se ju keni një emër të plotë, ju nuk mund të gjeni
dikush që lehtë.
Por, çfarë nëse ju keni një emër të plotë dhe data e tyre e lindjes?
A është kjo e mjaftueshme për të identifikuar dikush në mënyrë specifike?
>> Po në qoftë se ju keni emrin e tyre dhe adresë rruge që ata të jetojnë në?
A është kjo e mjaftueshme për të gjetur dikë?
Dhe se kur ata pyesin, çfarë është të dhënat personale të identifikueshme, dhe
çfarë duhet të shqetësohen për jo duke i dhënë larg?
Nëse ju dhuroj identifikueshme personale informacion që dikush ju jep,
ju potencialisht mund të merrni paditur.
Dhe ne definitivisht nuk dua që.
>> Pra, kur ju jeni vënë faqen tuaj te internetit jashtë, dhe ju keni një të vërtetë cool
dizajn, shpresojmë se ju bërë një projekt i tmerrshëm përfundimtar.
Çdo lloj që ju dëshironi të vënë atë atje.
Ju dëshironi të bëni të sigurtë që çdo gjë ju jeni duke marrë nga përdoruesit, nëse është e
të dhënat personale të identifikueshme, ju doni të bëni të sigurtë që ju jeni duke qenë me të vërtetë
kujdesshëm me të.
>> Injeksion Shell.
OK.
Injeksion Shell lejon njeri i bezdisshëm për të hyj në linjë aktuale tuaj të komandës
në serverin tuaj.
Dhe kështu që ai është në gjendje për të kandiduar kodin që ju nuk mund të kontrollit.
Le të marrin një shembull të kësaj string bukur këtu.
Nëse do të shkoni në faqen e internetit përsëri, unë jam i do të shkojë në injeksion kodin.
Pra, ajo që kjo nuk është -
kjo është edhe ajo që ne ishim duke kërkuar në para.
Ne jemi duke i lënë përdoruesit të vënë në çfarëdo ai dëshiron, dhe kjo do të shtypura nga
çdo gjë që ju dëshironi.
>> Kështu që unë jam duke shkuar për të vënë një telefonatë.
Çfarë kjo nuk është -
ai do të fillojë nga concatenating.
Pra, kjo do të më lejoni të kandidojë çdo gjë urdhëroj drejtimin e personit
para dhe komandën e mia.
Dhe unë jam drejtimin e një komandë të sistemit.
Dhe këto vargjet e fundit janë - mos harroni ajo që Kam biseduar me ju djema në lidhje,
kurse ju keni për të shifroj atë në një metodë URL.
Nëse unë të drejtuar këtë tani -
Unë do të ju tregojnë se këtu -
ju do të shihni se unë përfundoi up drejtimin e një komandë.
>> Kjo është në fakt server aktuale që website im po kandidon në.
Pra, ne nuk duam që, sepse unë mund të kandidojë -
ky server nuk është e imja.
Kështu që unë nuk dua të bela deri tij motra, server Marcus-së.
Por ju mund të kandidojë më shumë komandat që janë të rrezikshme.
Dhe potencialisht, ju mund të fshini fotografi, hiqni directories.
Unë mund të hiqni një directory të caktuar nëse Unë të kërkuar për të, por unë nuk dua
për të bërë këtë për Marcus.
Ai është një djalë i mirë.
Ai më lejoni të marrë hua serverin e tij.
Kështu që unë jam duke shkuar për të le të jashtë në një të mirë.
>> Pra, ajo që ne nuk duam të përdorni - ne nuk bëjmë dëshironi të përdorni eval apo sistem.
Eval ose sistem na lejon të bërë këto thirrje sistemit.
Mjetet eval vlerësuar.
Sistemi do të thotë ajo që unë u zhvillua.
Është e drejtuar diçka në sistem.
Por ne mund të dëbuar këto gjëra në PHP në mënyrë që ne nuk i përdorin ato.
Dhe fotografi upload.
Unë kam qenë duke shkuar për të bërë një awesome Gjëja me e file upload.
Por si ju thashë djema, dosjen time upload gjë nuk është duke punuar.
Nëse unë do të ngarkoj një dokument tani -
nëse unë do të ngarkoj një dokument, dhe kjo është një foto -
ju keni një gjë të ngarkoni kjo është një foto.
Kjo është në rregull.
Asgjë nuk ndodh.
>> Por në qoftë se ju keni një file upload, për shembull, dhe përdoruesit në të vërtetë Ngarkimet më të
një skedar PHP apo nje exe file apo diçka si kjo, atëherë ju mund të potencialisht të
kanë një problem.
Kjo ishte duke punuar para.
Për fat të keq për mua, kjo është nuk punon më.
Në qoftë se unë, për shembull, ngarkoni këtë fotografi, unë jam i mos marrë leje për të ngarkoni
skedar shkak te serverit mos qenë minave.
Pra djalë me të vërtetë i zgjuar.
>> Pra, ne nuk duam të -
Unë jam duke shkuar për të treguar ju djema -
OK, këto janë disa mjete të vërtetë të ftohtë.
Pra, këto -
shkojnë në - në qoftë se ju djema keni Firefox - shpresojmë se ju bëni.
Ka dy Shtesa add-quajtur SQL Inject Mua dhe Cross-Site Script Me.
Ata e hapur deri sa të vogël krah bare në anën.
Dhe në qoftë se unë do të shkoj në CS60 për shembull -
kështu që ajo që bën është e duket për të gjitha format që -
shpresojmë se, unë nuk do të marrë në telashe për këtë.
>> Por OK.
Ja se sistemi i pin.
Pra, kur Unë të fillojmë të shikojmë për vrima në sistemi, gjëja e parë që bëni është të
hapur kjo pak bukur mjet në anën.
Dhe unë jam duke shkuar për të provuar forma të me sulme auto.
Dhe kështu që ajo që kjo nuk është ajo do të ngadalë hapur një bandë e shfletuesit.
Këtu ka një bandë e shfletuesit.
Dhe kjo është duke u përpjekur çdo kombinim të vetme të ndër-site scripting
se ka ndoshta është, në qoftë se ju shihni në anën.
>> Dhe kjo do të më japë një rezultat lloj çfarë përgjigje është.
Të gjitha të kalojë.
Natyrisht, ata të gjithë të kalojë.
Unë do të thotë, ata janë me të vërtetë i zgjuar njerëz deri atje.
Por në qoftë se unë do të kandidojë -
Unë kam pasur herë më parë, kur kam drejtuar këtë në projektet përfundimtare të nxënësve.
Unë thjesht të drejtuar SQL Inject Me me të gjitha sulmet e ndryshme.
Dhe kjo është duke u përpjekur për të injektuar SQL ky server pin.
Pra, nëse ne të lëvizni poshtë, për shembull, ai thotë se -
kjo është e mirë në qoftë se ajo kthehet.
>> Pra, ajo testuar disa vlera të caktuara.
Dhe server kthye një kodin që ishte negative.
Hiq përkohësisht.
Kjo është e mirë.
Ajo mundohet të gjitha këto teste.
Kështu që ju mund të thjesht të drejtuar -
Unë kam dëshirë mund të gjeni një të vërtetë të internetit të shpejtë që do të më lejoni -
ndoshta dyqan CS50.
>> Wow, kjo do të të marrë rrugë shumë të gjatë.
Unë do të le prova e parë mos përfundojë drejtë.
Kështu që është ankuar.
Pra, këto janë tri gjëra.
Këto mjete janë të lirë.
Ju mund ta shkarkoni dhe të drejtuar ata në faqen tuaj te internetit, dhe ajo do të tregojë nëse
ju keni ndër-site scripting, në qoftë se ju keni SQL, në qoftë se ju keni
diçka e si.
Unë jam lloj messing up.
>> Çfarë është e rëndësishme -
OK, kështu që kurrë nuk besojnë të përdoruesit.
Sido që të inputeve përdorues për ju, të bëjë që ju Sanitize atë, ju të pastër atë,
ju kontrolloni për gjërat e duhura, se është duke ju dhënë atë që ju
duan që ai të ju jap.
Gjithmonë të përditësohet në atë që kornizat se ju jeni në të vërtetë duke përdorur.
Në qoftë se ju përdorni diçka si metodologji ndihmëse -
Unë e di ju djema do të përdorim bootstrap sepse ai do të shkojë
mbi këtë së shpejti në klasë -
dhe Wordpress apo diçka të tillë, normalisht kjo do të mund të hacked.
>> Dhe pastaj ju nuk e di edhe.
Ju jeni vetëm duke faqen tuaj te internetit.
Dhe kjo është krejtësisht e sigurt.
Dhe ju shkoni poshtë.
Kështu që unë jam me të vërtetë në fillim të peshkimit.
Por unë dua të falënderoj Pentest Labs.
Unë jam duke shkuar për të treguar ju djema diçka quajtur Pentest Labs.
Nëse ju djema janë me të vërtetë të interesuar në atë të sigurisë me të vërtetë, ka një
Faqja e internetit të quajtur Pentest Labs nëse ju djema shkoni në atë që tani.
Oh, mirë, kjo nuk është ajo.
Unë jam vetëm duke shkuar për të drejtuar atë si kjo.
Google tregon mua përgjigjen.
>> OK.
Dhe ajo mëson të përdorni ju - kështu që thotë, të mësojnë depërtimit të internetit
testimin rrugën e drejtë.
Ajo ju mëson -
shpresojmë se, ju jeni një person etik.
Por kjo ju mëson se si ju mund të shikoni në se si ju mund të merrni brenda faqet e internetit.
Dhe në qoftë se ju mësoni se si ju mund të merrni brenda faqet e internetit, ju mund të mësoni se si të
të mbrojtur veten nga marrja e faqet e internetit brenda.
Më lejoni të zoom në për shkak se ndoshta ju djema nuk janë duke kërkuar në këtë të drejtë.
>> Nga SQL injeksion të derdh, kështu lloj si unë mund të merrni nga SQL
injeksion të predhë.
Dhe keni shkarkuar këtë makinë virtuale.
Dhe makinë virtuale tashmë vjen me faqen e internetit që ju jeni
do të përpiqen atë në.
Ju shkarkoni këtë PDF.
Dhe kjo do t'ju tregojë se çfarë rresht pas rreshti ju duhet të bëni, çfarë ju kontrolloni.
Kjo është ajo që një sulmues të vërtetë ka për të marrë brenda një faqe interneti.
>> Dhe disa nga këto gjëra është e komplikuar.
Unë kam dëshirë mund të shkoj për më shumë gjëra me ju djema.
Por kam frikë se ju djema nuk kanë me të vërtetë -
kjo është ajo që unë kaloi me ju djema, teste web
për testimin e depërtimit.
A nuk e vërtetë e di se çfarë SQL është dhe çfarë -
Seminari Carl Jackson është awesome si.
Ju djema nuk e di lloj të asaj që kjo është.
Por në qoftë se ju shkoni në këtë faqe interneti, dhe ju shkarko këto mësime dhe këto
PDF, ju mund të hidhni një sy në lloj ajo që zona e sigurisë të vërtetë ka
në testimin e depërtimit, të shohim se si ju mund të të merrni faqet e internetit brenda dhe për të mbrojtur
veten nga ajo.
>> Pra, në qoftë se unë bëj një pasqyrë të super të shpejtë, ajo do të parandaluar ndër-site scripting.
Ju dëshironi të përdorni htmlspecialchars çdo Herën e inputeve përdorues diçka.
Parandalimin e SQL injeksion.
Nëse ju bëni këtë, ju jeni tashmë më mirë se Harvard ishte
kur ato u shkelen.
Dhe sigurohuni që fjalëkalimet tuaja nuk janë në tekst të thjeshtë.
Sigurohuni që ju bëni jo vetëm një mënyrë hash ata por që ju të përdorni dhomë të nëndheshme, PHP
funksion që unë ju tregoi djema.
Në këtë mënyrë, ju duhet të jetë mirë.
>> Gjithashtu, në qoftë se miqtë tuaj ju lejojnë, të drejtuar SQL Inject Me në faqet e tyre.
Run scripting ndër-faqen në faqet e tyre.
Dhe ju do të shihni shumë nga këto faqet e internetit kanë një ton të dobësitë.
Është e pabesueshme se si shumë njerëz harrojnë për të Sanitize bazat e të dhënave ose të bëjë
të sigurt se çfarë inputting e personit nuk është kodi script.
OK.
Unë lloj i përfundoi me të vërtetë në fillim.
Por në qoftë se dikush ka ndonjë pyetje në lidhje çdo gjë, ju mund të xhiruar me një pyetje.
Po.
Shko, shko.
>> Audienca: Unë vetëm dua të pyes, mund ta shpjegoni se si skedar
ngarkoni pikërisht vepra.
>> Luciano Arango: Po.
Pra më lejoni të ju tregojnë file ngarkoni vërtetë të shpejtë.
Pra dosja upload -
problemi mendje file upload tani është se -
Unë jam duke shkuar për të hapur kodin kështu që ju djema shikoni kodin prapa skenave.
Dhe kjo është të ngarkoni.
Këtu ka një kod për file uploader.
>> Ne jemi duke u përpjekur për të shkuar në këtë Lista mbi këtu.
Dhe ne jemi duke u përpjekur për të, pasi ne input fotografi, fotografi isset - kështu që kur ka një
paraqesë në DOSJET, atë imazh, atëherë ne përpiqemi për të lëvizur këtu.
Ne kap skedarin mbi këtu.
Metoda është POST, lloji, figurës, vargut.
Dhe ne jemi të dërguar këtë fotografi.
Dhe pastaj një herë kemi marrë atë, kështu që sapo fotografi ka një imazh, ne jemi duke u përpjekur për të dërguar atë
për këtë directory.
>> Problemi është se në faqen e internetit nuk është lënë mua të shkojnë në këtë directory,
sepse ajo nuk dëshiron që unë të kthehem.
Ajo nuk dëshiron që unë të shkoj -
Unë duhet të shkoj - kështu që këtu është të ngarkoni.
Ja images.
Unë kam për të shkuar gjatë gjithë rrugës prapa në fillimi dhe e vënë atë në atje dhe më pas
shkoni dhe e vënë atë në directory.
Pra, nëse unë kam qenë drejtimin e një dritare terminali, dhe kam kërkuar për të lëvizur një fotografi -
[Padëgjueshme]
mund ta shohin atë.
Në qoftë se kam kërkuar për të lëvizur një skedar, unë kam për të vënë emrin e file dhe pastaj
shteg i plotë Dua të dërgoni në.
>> Dhe pastaj server nuk është lënë mua të kthehem.
Dhe kështu që nuk është lënë mua të shkoj në këtë dosje.
Por normalisht -
kështu që nuk ka një kod për uploadoni një file.
Pra, normalisht se çfarë do të ndodhë është se Personi nuk është kontrolluar nëse dosja ime
mbaron me. jpeg, kështu që unë do të doni të kontrolloni.
Më lejoni të hap një shembull shumë të vërtetë të shpejtë.
>> OK.
Ky person e drejtë -
kështu shembull dy është e kontrolluar nëse preg_match -
këtu ajo është e gjatë këtu -
për të siguruar që përfundon me PHP, e cila është e mirë.
Kjo është e mirë.
Por ka një të vërtetë e madhe problem me këtë.
Kjo është e mirë.
Por në qoftë se unë do të vënë një skedar të quajtur myfavoritepicture.php.jpeg, unë mund
ende potencialisht të hequr qafe të jpeg dhe të drejtuar it.k Kjo PHP-së rrezikshme.
Ju nuk doni personi të jetë në gjendje për të kandiduar kodin në faqen tuaj te internetit.
>> Por pastaj. Jpeg lejon atë të kalojë.
Ideja është ajo që ju me të vërtetë dëshironi të bëni nuk është marrë fotografi, A. Por, OK, çfarë
ju me të vërtetë dëshironi të bëni është të siguruar që keni lexuar mbi të gjithë botën.
Dhe nuk ka asgjë. Php në të.
Nuk ka. Php në Emri tërë fotografi.
>> Audienca: Por ju mund vënë. jpeg në fund.
Serverat ende të drejtuar kodin.
>> Luciano Arango: Jo, nuk do të drejtuar në fillim.
Ju keni për të shkuar mbrapa dhe të përpiqemi për të parë nëse ju mund të -
>> Audienca: Pra, ne duhet të -
OK, vetëm një tjetër grup që përfshin -
>> Luciano Arango: Po.
>> Audienca: OK.
>> Luciano Arango: Po.
OK.
Çdo pyetje të tjera?
OK.
Unë jam duke shkuar për të lënë këtë ide dhe lloj i të përpiqen për të parë nëse ju djema mund të -
ato të tjera janë pak më shumë komplikuar për shkak se ato kërkojnë shumë
më shumë njohuri të SQL se vetëm duke filluar njohja e web SQL është dhe
çfarë JavaScript është.
Por unë jam do të përpiqen për të mbajtur këtë ide, dhe shpresojmë se ju djema do të mësojnë
për këtë dhe të përpiqet të marrë një vështrim në çfarë mund të bëni dhe sa shembuj
ju mund të merrni me.
>> Çdokush ka ndonjë tjetër pyetje në lidhje me të?
Shkoni përpara.
Po, xhiruar, xhiruar.
Po, të shkojnë përpara.
Shkoni përpara.
>> Audienca: OK.
Pra, kam dëgjuar se si Magic Quotes nuk janë të sigurt të mjaftueshme.
>> Luciano Arango: Çfarë -
Kuotat Magjike?
>> Audienca: Po.
Pra, ajo shton - kështu që sa herë që ju të dhëna diçka, ajo gjithmonë shton kuotat.
>> Luciano Arango: Po.
Po.
OK.
>> Audienca: Dhe atëherë unë pse se ka punuar, por pastaj unë kontrolluar atë.
Dhe ai tha se kjo nuk është e mirë.
Por unë nuk jam i sigurt pse.
>> Luciano Arango: Po.
>> Audienca: Mos përdorni Magic Quotes, për shkak se ajo nuk është e sigurt.
>> Luciano Arango: OK.
Pra Magic Quotes është kur ju futur SQL dhe ajo tashmë shton kuotë për ju.
>> Audienca: Ajo gjithmonë shton kuotat rreth çdo gjë që ju vënë in
>> Luciano Arango: Po.
Pra, problemi me këtë është se -
Unë do të marrë një sy në -
>> Audienca: Si e bën atë të marrë deklarata SQL?
Ose unë mendoj se mund të jetë si të japin kuotën e zgjedhur.
>> Luciano Arango: Po, ju duhet Kuotat e mirë për të SQL.
>> Audienca: Jo, por server e bën këtë për ju.
>> Luciano Arango: Këto citate të vogla të drejtë këtu, këto citate pak?
>> Audienca: Po.
>> Luciano Arango: Po.
Problemi është se ju mund të comment out fundit -
OK, kështu që ajo që unë mund të bëj është që unë mund të komentoj jashtë - kështu që le të marrin një vështrim në - le të më
hapur një tekst edit file.
Më lejoni vetëm të redaktoni këtë drejtë këtu direkt.
OK.
Mund të ju djema të shihni se në mënyrë të qartë?
Ajo që unë mund të bëj është që unë mund të komentoj nga ajo e fundit.
Kjo do të komentojë nga një të fundit.
Dhe atëherë unë do të vënë një të tillë këtu, vënë të gjitha gjëra me qëllim të keq këtu.
>> Pra, përdoruesit e vërtetë inputting, e drejtë?
Shfrytëzuesi nuk është futjen gjërat, apo jo?
Kjo është ajo që unë jam duke shkuar për të dhëna si personi duke u përpjekur për të marrë brenda.
Unë jam duke shkuar për të vënë në -
kjo është një shenjë citat.
Është vetëm squiggly gabimisht.
Dhe pastaj çfarë kodi është duke shkuar për të bërë -
vjen keq, unë jam duke shkuar për të marrë këtë.
Çfarë kodi do të bëni është të ajo do të shtojë parë
citat shënon këtu.
Dhe ajo do të shtojë fundit mark citat si.
>> Dhe ajo gjithashtu do të shtoni fundit, të shënojë citat fundit.
Por unë jam duke komentuar këto citat shënon se, në mënyrë që ata nuk do të kandidojë.
Dhe unë jam duke përfunduar këtë citat shënuar mbi këtu.
A e kuptoni?
A jeni humbur?
Unë mund të komentoj citimin e fundit shenjë, dhe të kujdeset për
mark parë citat.
>> Audienca: Dhe vetëm të përfundojë e para.
>> Luciano Arango: Po.
Dhe vetëm të përfundojë një të parë.
Po, kjo është e drejtë.
Kjo është ajo që unë mund të bëj.
Po.
Çdo pyetje të tjera si kjo?
Kjo është një pyetje e madhe.
Jo, po, ndoshta.
Shpresojmë, ju djema do lloj të bëjë më shumë kuptim kur ju studioni SQL dhe
gjëra të tilla si se.
Por sigurohuni që ju -
mbajnë këto mjete në orë.
Na vjen keq, këto mjete mbi këtu.
Këto mjete janë të mëdha.
Nëse dikush ka ndonjë pyetje, ju gjithashtu mund të email mua.
Kjo është my email normale.
Dhe kjo është e-mail im punës, të cilat është kur unë punoj në dete.
>> OK, faleminderit.
Faleminderit, djema.
Ju jeni të mirë për të shkuar.
Ju nuk keni për të qëndruar këtu.
A nuk e duartrokas.
Kjo është e çuditshme.
OK, faleminderit, djema.