>> லூசியானா ARANGO: சரி, சரி.
என் பெயர் லூசியானோ Arango ஆகிறது.
நான் ஆடம்ஸ் மாளிகையில் ஒரு சோபோமோர் இருக்கிறேன்.
நாம் பற்றி பேசி இருக்க போகிறோம் இணைய பாதுகாப்பு செயலில் பாதுகாப்பு.
அதனால் நான் தகவல் அலுவலகம் வேலை கடல் பாதுகாப்பு.
மற்றும் கோடை காலங்களில், நான் தடுத்து ஒரு தகவல் இருந்தது SeguraTec,
பணியாற்றினார் என்று பாதுகாப்பு நிறுவனம் கொலம்பியா வங்கி.
நான் கற்று அங்கு பெரும்பாலும் தான் நான் இதுவரை கற்று என்ன.
>> எனவே நாம் இருக்கிறோம் என்று பொருள் சில இன்று மேல் செல்ல, நாங்கள் இல்லை
உண்மையில் வர்க்கத்தின் பற்றி பேசினார்.
ஆனால் நாம் விரைவில் சாப்பிடுவேன்.
இது SQL, ஜாவா போன்ற இருக்க போகிறது.
நாம் உண்மையில் அது போகவில்லை.
எனவே நான் அதை மூலம் விமானம் வரிசைப்படுத்த, மற்றும் நீங்கள் சில விஷயங்களை தெரியாது.
ஆனால் விரைவில் நீங்கள் அதை அறிய வேண்டும்.
அது அனைத்து உணர்வு வேண்டும்.
மேலும் மற்றொரு விஷயம் -
நெறிமுறை தங்க.
நீங்கள் கற்று விஷயங்களை சில, நீங்கள் அல்லாத நெறிமுறை வழிகளில் பயன்படுத்த முடியும்.
>> இது உங்களுடையது என்றால், நிச்சயம் முயற்சி.
நான் நிச்சயமாக நீங்கள் ஊக்குவிக்க உங்கள் சொந்த சேவையகங்களில் முயற்சி, முயற்சி
அவர்களை உள்ளே போகிறது.
நீங்கள் அவர்களை ஊடுருவ முடியும் என்றால் பார்க்க, நீங்கள் அவர்களை உள்ளே பெற முடியும் என்றால்.
ஆனால் வேறு யாரும் இல்லை.
போலீசார் உண்மையில் நகைச்சுவைகளை போன்ற இல்லை முழு, நாம் இங்கே இந்த வைத்தோம்.
நாம் சுற்றி குளறுபடி.
அவர்கள் உண்மையிலேயே கோபம்.
>> எனவே இந்த வலைத்தளத்தில் மீது தலைமை.
நான் அதை இங்கே திறந்து.
இந்த ஒரு இணையதளம் இருக்கிறது, அது உதாரணங்கள் ஒரு கொத்து உள்ளது.
என்ன நடக்கும் என்று முதல் எடுத்துக்காட்டு அப்படி நிறைய எளிதாக இருக்கும்
ஒரு பொருளில் கடந்த எடுத்துக்காட்டாக விட என்று முதல் எடுத்துக்காட்டு
முற்றிலும் பாதுகாப்பற்ற.
கடந்த ஒரு வகையான என்ன ஒரு ஆகிறது சாதாரண இணைய பாதுகாப்பு நபர் செய்ய வேண்டும்.
ஆனால் நீங்கள் இன்னும் வரிசைப்படுத்த முடியும் என்று சுற்றி கிடைக்கும்.
நாம் ஒரு மையமாக போகிறோம் இரண்டு, உதாரணங்கள் ஒரு இரண்டு.
>> சரி.
தான் கிராஸ் சைட் ஸ்கிரிப்ட் ஆரம்பிக்கலாம்.
இங்கு இயக்க வாடிக்கையாளர் உலாவி.
அதை நீங்கள் பயன்படுத்த ஒரு நிரலாக்க மொழி வாடிக்கையாளர் உலாவி அதனால் இயக்க
நீங்கள் வலைத்தளத்தில் மேம்படுத்த இல்லை மற்றும் சர்வர் திரும்ப செல்ல.
நீங்கள் இயங்கும் வேண்டும்.
உதாரணமாக, பேஸ்புக், நீங்கள் இல்லை புதிய நிலை இணையதளத்தில் ஏற்றவும்
மேம்படுத்தல்கள் வர.
இது உருவாக்க JavaScript ஐ பயன்படுத்தி இந்த விஷயங்கள்.
எனவே நாம் தீங்கிழைக்கும் JavaScript செலுத்த முடியும் வலைத்தளங்கள் ஒரு.
அந்த வழியில், நாம் ஒரு இணைப்பை அனுப்ப போது யாராவது, நாம் அப்படி அதை அனுப்ப முடியும்
நாம் வேண்டும் என்று குறியீடு சில.
>> தொடர்ந்து, அல்லாத தொடர்ந்து இருக்கிறது ஜாவா -
தொடர்ந்து, அல்லாத தொடர்ந்து குறுக்கு தளம் ஸ்கிரிப்ட், நான் சொல்கிறேன்.
மேலும் வேறுபாடு என்று தொடர்ந்து இருப்பது என்று இங்கு ஆகிறது
இணையதளத்தில் சேமிக்கப்படும்.
அல்லாத தொடர்ந்து இங்கு இருக்கும் என்று உண்மையில் ஒரு முறை நடக்கும்.
எனவே ஒரு உதாரணத்தை பார்போம் உண்மையான விரைவான.
>> சரி.
எனவே இந்த இணையதளத்தில், எளிய, எதுவும் இங்கே நடக்கிறது.
நாம் முயற்சி செய்ய போகிறோம் சில ஜாவா செருக.
எனவே நாம் இங்கு எழுதும் தொடங்க வழி நாம் தொடங்கி ஸ்கிரிப்ட் தொடங்க உள்ளது.
நாம் ஸ்கிரிப்ட் அதை மூடவும்.
நாம் வெறுமனே ஒரு செய்தி போட போகிறோம் -
நான் உனக்கு காண்பிக்கிறேன் -
எச்சரிக்கை.
எச்சரிக்கை ஒரு செயல்பாடு இருக்கும் என்று இங்கு ஏதாவது காட்ட பயன்படுத்துகிறது.
எனவே அது உண்மையான விரைவான முயற்சி செய்வோம்.
நான், போக எச்சரிக்கை ஹலோ போகிறேன்.
சரி, நான் போட மறந்துவிட்டேன் -
சரி.
எனவே எளிது.
>> நாம் ஒரு இணைய தளத்தில் ஜாவா வைத்தோம், அது வந்தது.
அது மாதிரி தான் நடக்கிறது எங்கள் வலைத்தளத்தில், சரியான?
அது இல்லை போல தெரிகிறது ஒரு பிரச்சனை, சரியான?
நான் என்ன சொல்கிறேன் என்றால், எப்படி நீங்கள் பயன்படுத்த முடியும் இந்த தீமை?
ஹேக்கர்கள் என்று வழி இந்த மிகவும் எளிது.
அவர்கள் அதை அடைய போகிறோம்.
அவர்கள் உங்களுக்கு இந்த இணைப்பை அனுப்ப முடியும்.
நான் இப்போது உங்களுக்கு இந்த இணைப்பை அனுப்ப வேண்டும் என்றால், மற்றும் நீங்கள் அதை திறந்து, அது நடக்கிறது
என்று கூறி, ஹலோ, என்று என் வலைத்தளத்தில் ஹலோ சொல்கிறேன்.
>> அதனால் நான் ஏதாவது ஒரு என்று இருந்தால் சிறிய பிட் சிறந்த, நான் இழுக்க ஒரு
ஜாவா விழாவில் நான் வகையான ஏற்கனவே எழுதியது -
நீங்கள் அதை பார்க்க, ஆனால், நான் செல்கிறேன் நான் அதை எழுதியது முன் அதை.
எனவே நாம் ஒரு முடிதல் அமைக்க போகிறோம்.
நாம் காத்திருக்க போகிறோம் ஒரு சில வினாடிகள்.
உண்மையில், நாம், காத்திருக்க போகிறோம் நான், ஐந்து விநாடிகள் தவறாக இல்லை.
இந்த மில்லி விநாடிகளில் செல்கிறது.
பின்னர் நாம் என்ன செய்ய போகிறோம் நாம் ஆகிறது எச்சரிக்கை போகிறது என்று உள்நுழைவு
மீண்டும் உள்ளே நுழைய நேரம் கடந்துவிட்டது
நாம் இடம் மாற்ற போகிறோம் வேறு ஒரு இடம் வேண்டும்.
>> எனவே நான் யாரோ இந்த வலைத்தளத்தில் அனுப்ப என்றால், அவர்கள் இருக்க போகிறோம்
அமைதியாக, சுற்றி உலாவுதல்.
எதுவும் நடக்கிறது.
ஐந்து விநாடிகள், அது நடக்கிறது சொல்ல, உங்கள் உள்நுழைவு நேரம் கடந்துவிட்டது.
மீண்டும் உள்ளே புகுபதிகை செய்க
அவர்கள் சரி என்பதை கிளிக் செய்யவும், நான் போகிறேன் மற்றொரு இணைய அவற்றை எடுத்து.
மறைமுகமாக, இணையதளம் நடக்கிறது இணையதளம் போன்ற இருக்க வேண்டும் என்று
அவர்கள் முன் இருந்தன.
அவர்கள் நுழைய போகிறோம் தங்கள் என் வலைத்தளத்தில் பதிலாக ஒரு சான்றுகளை
தங்கள் வலைத்தளத்தில்.
>> அதனால் நான் மக்கள் ஒரு அனுப்ப முடியும் இந்த இணைப்பை மின்னஞ்சல்.
நான் ஓ, இங்கே ஒரு இணைப்பு தான், சொல்கிறேன்.
எடுத்துக்காட்டாக, ஒரு வங்கி உள்ளது.
நான், இங்கே, சொல்கிறேன் இந்த இணைப்பை செல்ல.
அவர்கள் அனுப்ப ஒருமுறை, அவர்கள் இருக்கிறார்கள் சுற்றி உலாவ போகிறது.
நான் 15 விநாடிகள், 20 வினாடிகள் காத்திருக்க முடியாது, பின்னர் அந்த தயவுசெய்து மீண்டும் உள்நுழைக பாப்
மீண்டும் கையெழுத்திட.
நீங்கள் அதை முயற்சி செய்யலாம் நிறைய விஷயங்களை.
கொஞ்சம் சிக்கலானது நீங்கள் ஏனெனில் இங்கு காணப்படும், அதனால் இல்லை
சில செயல்பாடுகளை தெரியாது.
ஆனால் நீங்கள் செய்ய வேண்டும் அனைத்து தொடக்க ஆகிறது ஸ்கிரிப்ட், ஸ்கிரிப்ட் முடிவடையும்.
நீங்கள் எதையும் வைக்க முடியும் மத்தியில்.
>> எச்சரிக்கை காத்திருக்க, ஒரு செயல்பாடு ஆகும்.
விண்டோ இடம் நீங்கள் எடுக்கிறது ஒரு புதிய இடம்.
ஆனால் நீங்கள் மிகவும் அதிகமாக செய்ய முடியும்.
அதனால் யோசனை என்று ஆகிறது நாம் எடுத்து.
நான் உதாரணமாக இரண்டு செல்ல, நான் என்றால் இந்த குறியீடு வைக்க, அது தான்
வேலை செய்ய போவதில்லை.
அது ஏனெனில் எல்லாம் வெளியே அச்சிடும் என்ன இந்த வலைத்தளத்தில் முதலில்
நான் இங்கே எதையும் வைத்து இருந்தால் இது இல்லை, அது சரி, இங்கே அது அச்சிட வேண்டும்.
எனவே அது எதையும் அச்சிடும் இல்லை.
இந்த உதாரணம் உண்மையில் சோதனை ஸ்கிரிப்ட் இருந்தால் பார்க்க.
எனவே சரி, போய்.
என்னை கேளுங்கள்.
>> பார்வையாளர்கள்: அனுப்பும் அல்ல ஒரு அல்லது கோரிக்கையை பதிவு?
>> லூசியானா ARANGO: ஆமாம். அவர்கள் இருக்கிறார்கள் ஒரு get கோரிக்கையை அனுப்பி.
>> பார்வையாளர்கள்: அது என்ன?
>> லூசியானா ARANGO: ஆமாம்.
மேலும் உலாவிகளில் POST கோரிக்கைகள் பயன்படுத்த.
ஆனால் நான் get கோரிக்கைகளை காட்ட முயற்சி செய்கிறேன் நாம் என்ன பார்க்க முடியும் என்று
உண்மையில் நடக்கிறது.
எனவே நாம் இந்த குறியீடு பார்த்தால் - அதனால் அது இனி வேலை இல்லை.
நாம் இந்த குறியீடு பாருங்கள் என்றால், அதை உதாரணமாக இரண்டு இருக்க போகிறது.
இந்த நபர், என்ன செய்கிறார் நபர் இந்த உலாவி பொறுப்பான -
சரி, திறந்து -
வார்த்தை ஸ்கிரிப்டை பதிலாக உள்ளது.
இந்த PHP ஆகிறது, இது நீங்கள் போகலாம் இன்னும் சிறிது பார்த்திருக்கிறேன்.
>> அவர் தான் மாற்றுகிறது பெயர் வார்த்தை ஸ்கிரிப்டை.
எனினும், நான் மேலே சென்றால் மற்றும் வைத்து -
நான் மீண்டும் என் குறியீடு கைப்பற்றி, நான் போகிறேன் என்றால் அதை மட்டும் கொஞ்சம் மாற்ற.
அதற்கு பதிலாக ஸ்கிரிப்ட், நான் மாற்ற போகிறேன் அது ஒரு மூலதன ஆர், மற்றும் உடன் ஸ்கிரிப்ட்
நாம் இந்த குறியீடு வேலை பார்க்க போகிறோம்.
எனவே, அதை அச்சிட முடியவில்லை இது ஒரு நல்ல அறிகுறி.
மேலும் வட்டம் இன்னும் இரண்டு நொடிகளில், அதை எடுக்க நடக்கிறது.
>> உங்கள் உள்நுழைவு நேரம் கடந்துவிட்டது.
சரி.
அதெல்லாம் சரி.
எனவே ஸ்கிரிப்ட் சோதனை வலிமை அவசியம் வேலை இல்லை.
நபர் -
இது ஸ்கிரிப்டை தொடரை சோதிக்க முடியும், ஸ்கிரிப்ட் ஸ்மால், Str வழக்கு
அவர்கள் அதே நீங்கள் உறுதி கண்டறியுங்கள்.
ஆனால் ஹேக்கர் இன்னும் என்ன வகையான செய்ய முடியும் நாம் நகர்ந்து போது நாம் வைஜெனேர் செய்தது
மீண்டும் ஒரு ஜோடி எழுத்துக்கள், முன்னோக்கி நகர்த்த.
அது ஸ்கிரிப்ட் வைத்து எப்படி கண்டுபிடிக்க முடியும் மீண்டும் அதை செலுத்த முடியும் அங்கு
என்று ஸ்கிரிப்ட்.
>> அதனால் என்ன நீங்கள் பயன்படுத்த வேண்டும் htmlspecialchars உள்ளது
உங்கள் இணைய பாதுகாக்க.
என்ன செய்கிறது அது செய்கிறது நீங்கள் வைத்து என்ன என்று -
உதாரணமாக, மேற்கோள்கள், அல்லது இந்த - விட அதிகமாக அல்லது குறைவாக
ஏதாவது மாற்றப்படும் என்று இருக்க முடியாது -
என்னை இங்கே பெரிதாக்க -
உண்மையான உம்மைக்குறி.
அந்த சிறப்பு HTML பதிலாக நாம் இருக்கும் போது நாம் பார்க்க வேண்டும் என்று எழுத்துக்கள்
பற்றி -
ஓ, இந்த என்னை மீண்டும் எடுத்து வருகிறது -
இங்கே இந்த எழுத்துக்கள்.
>> இந்த குறிக்கிறது என்று ஒன்று வருகிறது.
HTML, என்று தொடங்கி அடைப்புக்குறி நமக்கு சொல்கிறது என்று ஒன்று
தொடர்புடைய HTML வருகிறது.
நாம் அது பெற வேண்டும்.
நாம் ஒரு ஒரு HTML வைக்க வேண்டாம் website.k நாம் பயனர் விரும்பவில்லை
தங்கள் வலைத்தளத்தில் ஏதாவது செய்ய முடியும் அந்த மாதிரி, தங்கள் வலைத்தளத்தில் பாதிக்கும்
ஸ்கிரிப்ட் அல்லது HTML அல்லது அந்த மாதிரி ஏதாவது.
என்ன முக்கியம் ஆகிறது என்று பயனர் உள்ளீடு sanitize.
>> எனவே பயனர் உள்ளீடு பல விஷயங்கள் இருக்கும்.
அவர் உள்ளீடு முயற்சி பொருட்களை ஒரு கொத்து முடியும் இன்னும் ஒரு உங்களது உலாவி ஏமாற்ற
இந்த ஸ்கிரிப்ட் குறியீடு இயங்கும்.
நீங்கள் என்ன செய்ய வேண்டும் பாரு அல்ல ஸ்கிரிப்ட், ஆனால் எல்லாம் பார்க்க
தீங்கிழைக்கும் இருக்க முடியும்.
மேலும் htmlspecialchars செய்யும் என்று நீங்கள், நீங்கள் இல்லை
அதை பற்றி கவலைப்பட.
ஆனால் நீயே செய்ய முயற்சி செய்ய வேண்டாம் அப்படி உங்கள் சொந்த குறியீடு.
அனைவருக்கும் XSS தெளிவாக உள்ளதா?
>> சரி.
தான் SQL ஊசி போகலாம்.
எனவே SQL ஊசி ஒருவேளை ஆகிறது எண்ணை ஒரு பாதிப்பு
பல்வேறு வலைத்தளங்கள்.
நான், ஒரு நல்ல உதாரணம் சொல்கிறேன் -
நான் இன்னும் அதிகமாக ஆராய்ச்சி இந்த விஷயம்.
நான் இந்த அற்புதமான கட்டுரை, அங்கு காணப்படவில்லை நான் ஹார்வர்ட் மீறப்படுகின்றன என்று பார்த்தேன்,
ஹேக் செய்யப்பட்டது.
நான், நன்றாக, யோசித்து கொண்டிருந்தேன் அவர்கள் அதை எப்படி செய்ய வேண்டும்?
ஹார்வர்ட், மிக அற்புதமான விஷயம் மிகவும் எப்போதும் பல்கலைக்கழக பாதுகாக்க.
சரி?
சரி, சர்வர்கள் மீறிவிட்டதாக, ஹேக்கர்கள் ஒரு பயன்படுத்தப்படும்
SQL ஊசி என்று அழைக்கப்படும் தொழில் நுட்பம்.
>> எனவே இந்த நாள் அடிப்படையில் ஒரு நாள் நடக்கிறது.
மக்கள் கணக்கில் எடுத்து மறக்க SQL ஊசி.
ஹார்வர்ட் செய்கிறது.
நான், அதை பிரின்ஸ்டன், இங்கே கூறுகிறார் நினைக்கிறேன் ஸ்டான்போர்ட், கார்னெல்.
நாம் எப்படி செய்ய - இந்த SQL என்ன இந்த கொண்டுவரும் என்ற ஊசி
மக்கள் கீழே?
சரி.
எனவே, SQL ஒரு நிரலாக்க மொழி என்று நாம் தரவுத்தளங்கள் அணுக பயன்படுத்த.
நாம் என்ன செய்ய நாம் தேர்வு ஆகிறது -
அதனால் என்ன இது இப்போது கூறுகிறது தேர்ந்தெடுக்கப்பட்ட ஆகிறது மேசையில் இருந்து எல்லாம்.
>> SQL, இந்த தரவுத்தளங்களில் மாற்றங்கள் தகவல் முழு அட்டவணைகள் வேண்டும் என்று.
எனவே பயனர்கள் எல்லாம் தேர்வு பெயர் பயனர் பெயர் எங்கே.
சரி?
போதுமான எளிய.
SQL ஊசி யோசனை இருக்கிறது என்று நாம் சில தீங்கிழைக்கும் குறியீடு செருக என்று என்று
ஒன்று இயங்கும் ஒரு சர்வர் ஏமாற்ற அது என்ன விட வேறு
முதலில் இயங்கும்.
எனவே பயனர்பெயர் சொல்கிறேன், நாம் வைத்து அல்லது 1 1 சமம்.
எனவே நாம் வைத்து அல்லது 1 1 சமம்.
அது இப்போது படிக்க வழி தேர்வு இருக்கும் பயனர்கள், எல்லாம் இருந்து
பயனர்கள் - இந்த எல்லாம் -
பெயர் பயனர் பெயர் இருக்கிறது, ஆனால் அங்கு பயனாளர் பெயர் அல்லது 1 1 சமம்.
>> எனவே பெயர் எதுவும் இல்லை அல்லது 1 1 சமம்.
1 1 எப்போதும் உண்மை சமம்.
எனவே இந்த தகவல் எப்போதும் வரும் பயனர்கள்.
சரி.
நாம் தேவையில்லை சரியான பயனர்பெயர்.
நாங்கள் நாங்கள் விரும்பவில்லை என்று எதுவும் முடியும், அது தகவல் வரும்
நாம் வேண்டும் என்று.
மற்றொரு உதாரணம் பார்க்கிறேன்.
>> நாம் பயனர் இருந்து எல்லாம் தேர்ந்தெடுக்க வேண்டும் என்றால், துளி பெயரை அட்டவணை பயனர்கள் எங்கே -
அதனால் நீங்கள் என்ன நினைக்கிறீர்கள் இந்த விருப்பத்திற்கு செய்ய நான் பயனர் பெயர் வைக்க வேண்டும்
டேரன் பிராவோ அட்டவணை பயனர்கள்?
எவரும் ஒரு யோசனை?
ஆமாம்.
>> பார்வையாளர்கள்: அது சொல்ல நடக்கிறது அது அனைத்து அட்டவணைகள் அடை.
>> லூசியானா ARANGO: இது எங்களுக்கு சொல்ல நடக்கிறது இணையதளத்தில் எல்லாம் அடை,
தகவல் எல்லாம்.
என்ன மக்கள் பயன்படுத்த - அதனால் நான் உங்களுக்கு காட்ட போகிறேன்.
நான் அட்டவணைகள் கைவிடுவதாக முடக்கப்பட்டுள்ளது நான் விரும்பவில்லை
அவள் என் அட்டவணைகள் கைவிட.
இந்த நேரத்தில் ஒரு பார்க்கலாம்.
எனவே இந்த வெறுமனே தகவலை ஆடினார் ஒரு குறிப்பிட்ட நபர்.
இந்த என்றால் நாம் எப்படி தெரியும் SQL ஊசி மூலம் பாதிக்கப்பட்ட.
நாம் அது உண்மையான விரைவான பார்க்க போகிறீர்கள் நாம் ஏதாவது வைக்க முடியும் என்றால் -
எனக்கு இந்த குறியீடு நகலெடுக்க வேண்டும்.
நான் ஒரு இரண்டாவது அதை போக போகிறேன்.
நான் ரூட் போட போகிறேன் மற்றும் 1 1 சமம்.
>> இது சரியான இங்கே, இந்த சதவீதம் அடையாளம் 23 -
அது உண்மையில் என்ன, நான் வலது இங்கே பாருங்கள் -
நீங்கள் HTML, எண்கள் எடுத்து வழி நான் ஒரு இடத்தில் வைத்து போது பாருங்கள்
இங்கே - நான் இடத்தை ஏதாவது இருந்தால் இங்கே, இது ஒரு சதவீதம் 2 மாறும்.
நீங்கள் இங்கே இந்த பார்க்க வேண்டாம் நான் ஒரு இடத்தில் வைத்து போது?
அது வேலை செய்யும் விதம் என்று நீங்கள் மட்டும் முடியும் ஆகிறது HTML மூலம் ஆஸ்கி மதிப்புகள் அனுப்ப.
எனவே, எடுத்துக்காட்டாக, பதிலாக 20 சதவீதம் பேர் ஒரு இடத்தில்.
எனக்கு தெரியாது என்றால் நீங்கள் முன் பார்த்திருக்கிறேன்.
>> இது சதவீதம் 23 ஒரு ஹேஸ்டேக் பதிலாக.
நாம் இறுதியில் அல்லது ஒரு ஹேஸ்டேக் வேண்டும் அறிக்கையை நாம் சொல்ல முடியும் என்று
கருத்து மறக்க தகவல் இறுதியில் கடந்த அரைப்புள்ளி.
நாம் அது பற்றி நினைக்க வேண்டும்.
நாம் அதை எல்லாம் இயக்க வேண்டும் நாம் முன்பே வேண்டும் என்று
என்று கருத்து.
அது ஒரு பார்க்கலாம்.
>> நான் ஏதாவது தவறு வைத்து இருந்தால், அதனால் - உதாரணமாக சொல்கிறேன், நான் 2 சமமாக வைத்தேன்
1, அது எனக்கு எதுவும் கொடுக்க முடியாது.
நான் 1 வைக்க போது 1 சமம், மற்றும் அது ஏதாவது திரும்ப, இது எனக்கு சொல்கிறது என்று
இந்த பாதிக்கப்படலாம் ஆகிறது ஒரு SQL ஊசி.
நான் இப்போது தெரியும் என்று என்ன நான் இந்த பிறகு வைத்தேன் -
எடுத்துக்காட்டாக, அட்டவணைகள் அழுதேன் அல்லது அது போன்ற ஏதாவது
நிச்சயம் செய்யும்.
நான் அதை SQL ஊசி பாதிக்கப்படலாம் என்று எனக்கு தெரியும், ஏனெனில்
பேட்டை அடியில், அது விடாமல் எனக்கு 1 1 விஷயம் சமம் செய்ய.
சரி?
>> நாம் இந்த விளக்கங்களை பார்த்தால், எண் இரண்டு மற்றும் எண் மூன்று, அது தான்
இன்னும் கொஞ்சம் என்ன செய்ய போகிறாய் அடியில் சோதனை
அது என்ன பேட்டை.
எனவே யாரையும் துளி செயல்படுத்த இன்னும் எதுவும் அல்லது முயற்சி?
நீங்கள் அப்படி இன்னும் SQL கிடைக்கும்?
ஏனென்றால் எனக்கு தெரியும், உங்களுக்கு இல்லை இன்னும் அதை பார்க்கவில்லை, அதனால் அது மாதிரி தான்
நீங்கள் குழப்பம்.
ஒரு பார்க்கலாம்.
எனவே எனவும் தடுக்க வழி என்ன?
சரி.
எனவே இது மிகவும் முக்கியமானது நீங்கள் தோழர்களே நிச்சயமாக தடுக்க வேண்டும்
இந்த உங்கள் வலைத்தளங்களில்.
>> இல்லை என்றால், உங்கள் நண்பர்கள் போகிறோம் அவர்கள் அனைத்து கைவிட போது நீங்கள் கேலி செய்ய
உங்கள் அட்டவணைகள்.
எனவே யோசனை நீங்கள் SQL சரிசெய்ய என்று ஆகிறது ஒரு குறிப்பிட்ட வழியில், அதேசமயம் நீங்கள் பொருந்தவில்லை
என்ன பயனர் உள்ளீடுகள் ஒரு குறிப்பிட்ட சரம்.
எனவே இந்த வேலை வழி இருக்கிறது தகவல் தயார்.
நீங்கள் பெயர், நிறம், மற்றும் கலோரிகள் தேர்வு ஒரு தரவுத்தள என்று பழ இருந்து.
பின்னர் கலோரிகள் குறைவாக இருக்கும் நாம் அங்கு ஒரு கேள்வி குறி வைத்து
நாம் உள்ளீடு செய்ய போகிறோம் என்று இரண்டாவது ஏதாவது.
>> மற்றும் வண்ண சமம், மற்றும் நாம் ஒரு கேள்வி வைத்து மார்க் நாங்கள் போகிறோம் என்று
உள்ளீடு இரண்டாவது ஏதாவது அதே.
சரி?
பின்னர் நாம் வைத்து, அதை இயக்க 150 மற்றும் சிவப்பு.
இந்த செய்ய சரிபார்க்கும் நிச்சயமாக இந்த இரண்டு என்று -
இந்த வரிசை சரிபார்க்கும் இந்த இரண்டு ஒரு முழு மற்றும்
இந்த ஒரு சரம் என்று.
நாம் செல்கிறோம், நாம் எடுக்க அனைத்து, நாம் சிவப்பு அதை வைத்து.
நாம் அனைத்து எடுக்க முடிகிறது.
நாம் உண்மையில் SQL இயக்க முடிகிறது அறிக்கை மற்றும் சிவப்பு கேட்டது.
இங்கே நாம் அதே செய்கிறோம், ஆனால் நாம் மஞ்சள் ஒரே செய்ய.
நாம் அனைத்து எடுக்கிறோம்.
>> இந்த வழியில், நாம் பயனர் தடுக்கிறோம் உள்ளீடு செய்ய முடியும் இருந்து
என்று நாம் குறிப்பிட்ட என்ன, ஒரு சரம் அல்ல அல்லது ஒரு முழு, எடுத்துக்காட்டாக.
நான் முந்தைய பேசி மற்றவர்களை நம்பியிருக்கிறது.
நீங்கள் உங்கள் திட்டத்தை தொடங்கும் போது, நீங்கள் இருக்கிறீர்கள் மிக நிச்சயமாக பயன்படுத்த போகிறேன்
பூட்ஸ்ட்ரேப் அல்லது அது போன்ற ஏதாவது.
நீங்கள் எப்போதும் வேர்ட்பிரஸ் பயன்படுத்த வேண்டும்?
ஒருவேளை நீங்கள் பயன்படுத்த வேண்டும் வேர்ட்பிரஸ் பெரும்பாலும்.
எனவே பயன்படுத்தி சிக்கல் மற்ற மக்கள் எல்லாம் -
நான் கூகிள் உண்மையான விரைவான போகிறேன் வேர்ட்பிரஸ் பாதிப்பு.
>> நான் இப்போது இந்த மேலே என்றால் -
நான் உண்மையில் ஒரு இரண்டு இரண்டாவது கூகிள் செய்தார்.
நாம் என்று வேர்ட்பிரஸ் பார்க்க முடியும் -
இந்த செப்டம்பர் '12 என தேதியிட்ட.
26 மேம்படுத்தப்பட்டது.
வேர்ட்பிரஸ் முன்னிருப்பு கட்டமைப்பு 3.6 இந்த தடுக்க முடியாது முன்
சில பதிவேற்றங்கள், இது வலிமையை எளிதாக செய்ய
கிராஸ் சைட் ஸ்கிரிப்ட் தாக்குதல்கள்.
எனவே ஒரு விரைவான கதை, ஒரு முறை நாங்கள் வேலை உடன் - நான் ஒரு வேலை, கோடை காலத்தில் இருந்தது
வேலைவாய்ப்பு.
நாம் அப்படி வேலை ஒரு பெரிய கடன் அட்டை நிறுவனம் போன்ற.
>> அவர்கள் என்று ஏதாவது தங்கியிருக்கிறார்கள் -
நீங்கள் எப்போதும் நடித்தார் என்றால் எனக்கு தெரியாது Joomla! என்று ஒரு தயாரிப்பு.
Joomla! பயன்படுத்தப்படுகிறது என்று ஒரு பொருள் தான் கட்டுப்பாடு - வகையான ஒத்ததாக
வலைத்தளங்கள் உருவாக்க பயன்படுத்தப்படும் வேர்ட்பிரஸ்.
எனவே அவர்கள் தங்கள் வலைத்தளத்தில் இருந்தது ஜூம்லா வேலை.
இந்த உண்மையில் ஒரு கடன் அட்டை ஆகிறது கொலம்பியா நிறுவனம்.
நான் அழைத்து செல்கிறேன் தங்கள் இணையதளத்தில் உண்மையான விரைவான.
>> எனவே அவர்கள் அப்பாவி பயன்படுத்தப்படும்.
அவர்கள் அப்பாவி மேம்படுத்தப்பட்டது சமீபத்திய கூடுதலாக உள்ளது.
எனவே நாம் ஒரு எடுத்து போது தங்கள் குறியீடு, நாம் உண்மையில் முடிந்தது
தங்கள் குறியீடு உள்ளே சென்று திருட அனைத்து அவர்கள் அந்த கடன் அட்டை தகவலை,
அனைத்து கடன் அட்டை எண்கள், பெயர்கள், முகவரிகள்.
இது வெறும் இருந்தது -
தங்கள் குறியீடு செய்தபின் நன்றாக இருந்தது.
அவர்கள் பெரிய குறியீடு இருந்தது.
இது அனைத்து பாதுகாப்பு இருந்தது.
அவர்கள் அனைத்து தரவுத்தளங்கள் சோதித்தனர்.
அவர்கள் குறுக்கு தளம் உறுதி செய்து ஸ்கிரிப்ட் நன்றாக இருந்தது.
>> ஆனால் அவர்கள் இல்லை என்று ஏதாவது பயன்படுத்தப்படும் மேம்படுத்தப்பட்டது, பாதுகாப்பான இல்லை இருந்தது.
அதனால் வழிவகுத்தது என்று - எனவே நீங்கள் நிச்சயமாக மற்ற பயன்படுத்த போகிறோம்
மக்கள் குறியீடு, மற்ற மக்கள் கட்டமைப்புகள் உங்கள் இணைய கட்டமைக்க.
அவர்கள் பாதுகாப்பான இருக்கும் என்று உறுதி ஏனெனில் சில நேரங்களில் அது, என்று ஒரு நீங்கள் இல்லை
தவறு.
ஆனால் வேறு யாரோ ஒரு தவறு செய்கிறது, மற்றும் பின்னர் நீங்கள் அந்த கீழே விழும்.
>> கடவுச்சொற்கள் மற்றும் PII.
எனவே கடவுச்சொற்களை.
சரி.
தான் கடவுச்சொற்களை ஒரு பார்க்கலாம் உண்மையான விரைவான.
சரி.
தயவு செய்து சொல்லுங்கள் என்று அனைவருக்கும் பாதுகாப்பான பயன்படுத்துகிறது -
நான் எல்லோரையும் நம்பிக்கை பாதுகாப்பான கடவுச்சொற்களை பயன்படுத்துகிறது.
நான் விடாமல் என்று ஒரு அனுமானம் என.
எனவே நீங்கள் நிச்சயமாக போகிறோம் உங்கள் வலைத்தளங்களில் கடவுச்சொற்களை சேமிக்க.
உங்களை போன்ற ஏதாவது செய்ய போகிறோம் அந்த மாதிரி ஒரு உள்நுழைவு அல்லது ஏதாவது.
என்ன முக்கியம் சேமிக்க முடியாது உள்ளது உரை கடவுச்சொற்களை.
இது மிகவும் முக்கியம்.
நீங்கள் சேமிக்க வேண்டாம் ஒரு வெற்று உரை கடவுச்சொல்லை.
>> நீங்கள் நிச்சயமாக உண்மையில் விரும்பவில்லை ஒரு வழி புல அதை சேமிக்க.
அதனால், என்ன ஒரு வழி புல என்று போது நீங்கள் இந்த வைத்து போது, ஒரு வார்த்தை உருவாக்க
ஒரு ஹாஷ் சார்பு ஒரு வார்த்தை, அதை ரகசிய ஒருவித மீண்டும் உருவாக்க
செய்தி அல்லது விசைகளை ரகசிய தொகுப்பு.
நான் உங்களுக்கு ஒரு உதாரணம் காட்ட வேண்டும்.
நான் அவர்கள் வார்த்தை password1 புல போகிறேன்.
எனவே MD5 ஹாஷ் என்னை திரும்ப போகிறது வித்தியாசமான தகவலை ஒருவித.
>> பிரச்சனை என்று மக்கள் அங்கு ஆகிறது வலைத்தளங்களில் செல்ல விரும்புகிறேன் வேண்டும்
ஏற்கனவே வகையான வெளியே வந்தார் அனைத்து MD5 hashes வேண்டும்.
அவர்கள் உட்கார்ந்து என்ன தங்கள் கணினிகள், மற்றும் அவர்கள் ஒவ்வொரு hashed
அங்கு ஒற்றை வார்த்தை வரை அவர்கள் அப்படி என்ன இது கிடைத்தது.
நான் இந்த பார்க்க இருந்தால் -
நான் இந்த ஹாஷ் பிடித்துக்கொண்டார்.
நான் இந்த புல கிடைக்கும் என்றால் -
நான் ஒரு இணையதளத்தில் சென்று, நான் என்றால் இந்த ஹாஷ் நான் வேண்டும், ஏனெனில்
தரவுத்தளங்கள், மற்றும் நான் அதை பார்க்க, யாரோ ஏற்கனவே எனக்கு அது வெளியே வந்தார்.
>> சரி.
எனவே மக்கள் உட்கார்ந்து, என்ன MD5 நீங்கள் வைத்து அந்த புல, அவர்கள் போகிறோம்
நீங்கள் திரும்ப ஒன்று என்று ஒரு வார்த்தை உள்ளது.
நான், மற்றொரு வார்த்தை புல என்றால் -
எனக்கு தெரியாது -
trees2.
நான் ஏமாற்றம் இருக்க விரும்பவில்லை எனது Google தேடல்கள் மூலம்.
அங்கு அது, trees2 ஆகிறது.
எனவே வலைத்தளங்கள் நிறைய இன்னும் MD5 ஹாஷ் பயன்படுத்த.
அவர்கள் ஓ, அது பாதுகாப்பானது என்று.
நாம் உரை சேமித்து.
நாம் இந்த MD5 ஹாஷ் வேண்டும்.
நான் என்ன செய்ய வேண்டும் அனைத்து தான் இருக்கிறது எண்ணை Google.
>> நான் கூட என்னை கணக்கிட இல்லை.
நான் அதை கூகுள், மற்றும் முடியும் யாரோ ஏற்கனவே எனக்கு அது.
இங்கே ஒரு கூட்டத்தை தான்.
இங்கே கடவுச்சொற்களை ஒரு கொத்து தான்.
எனவே நிச்சயமாக MD5 ஹாஷ் பயன்படுத்த வேண்டாம், ஏனெனில் நீங்கள் வேண்டும் அனைத்து
செய்ய கூகுள் ஆகிறது.
அதனால் என்ன நீங்கள் பதிலாக பயன்படுத்த வேண்டும் என்று விரும்புகிறீர்கள்?
சரி.
பதனம் என்று ஒன்று.
அதனால் என்ன பதனம் ஆகிறது -
நாங்கள் இருந்த போது நீங்கள் நினைவில் இல்லை சீரற்ற பற்றி -
நான் அது என்ன PSet நிச்சயமாக இல்லை -
அங்கு PSet அல்லது நான்கு இருந்தது?
>> நாம் கண்டுபிடித்து பற்றி வைக்கோல் ஊசி.
மற்றும் pset, என்றார் நீங்கள் முடியும் என்று உண்மையில் என்ன சீரற்ற கண்டுபிடிக்க
யாரோ ஏற்கனவே ஓடி ஏனெனில் உருவாக்கிறது சீரற்ற ஒரு மில்லியன் முறை மற்றும்
அப்படி அவர்கள் உருவாக்க என்ன உருவாக்கப்பட்டது.
நீங்கள் என்ன செய்ய வேண்டும் என்று ஒரு உள்ளீடு வைக்க.
எனவே அந்த மாதிரி என்ன உப்பிலிடுதல் தான்.
அவர்கள் ஏற்கனவே உப்பிலிடுதல் என்ன வந்தார் ஒவ்வொரு வேலை கொடுக்கிறது.
>> அதனால் என்ன பதனம் இல்லை ஆகிறது நீங்கள் ஒரு உப்பு போட்டு.
நீங்கள் ஒரு குறிப்பிட்ட வார்த்தை வைத்து.
அது பொறுத்து அந்த வார்த்தை புல நீங்கள் இங்கே வைத்து என்ன.
எனவே நான் இந்த கடவுச்சொல்லை ஹாஷ் என்றால் தண்டனை, அது புல நடக்கிறது
நான் password1 புல வித்தியாசமாக என்றால் வேறு ஒரு சொற்றொடரில்.
அது மாதிரி எங்காவது அது அளிக்கிறது தொடங்க சுட்டுமுகவரியாக்கம் தொடங்க.
அதை நீங்கள் கணக்கிட நிறைய கடினமாக இருந்தது, ஆனால் இன்னும் குறிப்பாக, அது கணக்கிட முடியும்
நீங்கள் ஒரு கெட்ட உப்பு பயன்படுத்தினால்.
>> மக்கள் ஏற்கனவே வெளியே வந்தார் பொதுவான உப்புகள் மற்றும் வெளியே வந்தார்
அது என்ன.
ரேண்டம் உப்புக்கள் மிகவும் நன்றாக இருக்கும், ஆனால் சிறந்த வழி பயன்படுத்த வேண்டும்
மறைவான என்று ஒன்று.
என்ன மறைவான உங்களுக்கு உதவுகிறது எனவே இந்த செயல்பாடுகளை -
ஏற்கனவே நீங்கள் கட்டப்பட்டது.
பல மக்கள் என்பதை மறந்து, அல்லது அவர்கள் அதை பயன்படுத்த மறக்க.
ஆனால் நான் மறைவான PHP, மறைவான இருக்கும் என்றால் ஏற்கனவே எனக்கு ஒரு ஹாஷ் சரம் கொடுக்கிறது.
அது உண்மையில் அதை பல முறை உப்புக்கள் அது பல முறை hashes.
>> நாம் இதை செய்ய வேண்டிய அவசியம் இல்லை.
எனவே நீங்கள் செய்ய வேண்டியது எல்லாம் இருக்கிறது மறைவான அதை அனுப்ப.
அது இல்லாமல் ஒரு பெரிய புல உருவாக்கும் நீங்கள் உப்பு பற்றி கவலை
அல்லது ஏதாவது.
நீங்கள் உப்பு அது இருந்தால், நீங்கள் வேண்டும், ஏனெனில் நீங்கள் என்ன உப்பின் நினைவில்
ஏனெனில் இல்லை என்றால், நீங்கள் பெற முடியாது உங்கள் மீண்டும் இல்லாமல் கடவுச்சொல்லை
நீங்கள் பயன்படுத்திய உப்பு.
சரி.
>> மேலும் தனிப்பட்ட அடையாளம் தகவல்.
எனவே, சமூக பாதுகாப்பு, கடன் அட்டை - என்று அழகாக தெளிவாக இருக்கிறது.
ஆனால் சில நேரங்களில் மக்கள் வழி மறந்து அதை படைப்புகளை நீங்கள் எவ்வளவு தகவல்களை, ஆகிறது
உண்மையில் சில ஒரு நபரை கண்டுபிடிக்க வேண்டும்?
யாரோ ஒரு ஆய்வு செய்தார் இந்த ஒரு வழி.
அதை நீங்கள் இருந்தால், போல் இருந்தது ஒரு முழு பெயர், நீங்கள் கண்டுபிடிக்க முடியவில்லை
என்று எளிதாக ஒருவர்.
ஆனால் நீங்கள் ஒரு முழு பெயர் என்ன இருந்தால் மற்றும் தங்களின் பிறந்த தேதி?
அடையாளம் காண போதுமான என்று குறிப்பாக யாரோ?
>> என்ன தங்கள் பெயர் மற்றும் இருந்தால் அவர்கள் வாழும் தெரு முகவரி?
என்று யாராவது கண்டுபிடிக்க போதும்?
அவர்கள் கேள்வி போது அது என்ன என்று, தான் தனிப்பட்ட முறையில் அடையாளம் காணக்கூடிய தகவல், மற்றும்
உன்னை பற்றி என்ன கவலை விட்டு கொடுத்து இல்லை?
நீங்கள் தனிப்பட்ட அடையாளம் கொடுத்து விட்டால் யாராவது உங்களுக்கு கொடுக்கிறது என்று தகவல்,
நீங்கள் முக்கியமான வழக்கு.
நாம் நிச்சயமாக அந்த விரும்பவில்லை.
>> எனவே நீங்கள் உங்கள் வலைத்தளத்தில் வைத்து போது அவுட், மற்றும் நீங்கள் ஒரு உண்மையிலேயே வேண்டும்
வடிவமைப்பு, வட்டம் நீங்கள் செய்த ஒரு அற்புதமான இறுதி திட்டம்.
நீங்கள் அப்படி செய்ய விரும்பினால் அங்கு அதை வைத்து.
நீங்கள் உறுதி செய்ய வேண்டும் என்ன அது தான் நீங்கள், பயனர் எடுத்து வருகிறோம்
தனிப்பட்ட முறையில் அடையாளம் காணக்கூடிய தகவல், நீங்கள் நீங்கள் உண்மையாக இருப்பது செய்ய வேண்டும்
அதை கவனமாக.
>> ஷெல் ஊசி.
சரி.
ஷெல் ஊசி ஆகாத அனுமதிக்கிறது உங்கள் உண்மையான கட்டளை வரி கிடைக்கும்
உங்கள் சேவையகம்.
அதனால் அவர் குறியீடு இயக்க முடியும் என்கிறார் நீங்கள் கட்டுப்படுத்த முடியாது என்று.
இந்த ஒரு உதாரணம் பார்க்கலாம் இங்கே அழகான சரம்.
நாம் மீண்டும் இணைய சென்றால், நான் குறியீடு ஊசி போக போகிறோம்.
எனவே இந்த என்ன ஆகிறது -
அதை நாம் என்ன தான் முன் பார்த்து.
நாம் என்ன போட்டு பயனர் விடாமல் அவர் விரும்புகிறார், அது அவுட் அச்சிட முடியாது
உனக்கு என்ன வேண்டுமோ.
>> எனவே நான் ஒரு அழைப்பு வைக்க போகிறேன்.
என்ன செய்கிறது -
அது சங்கிலிச்சேர்ப்பின் மூலம் ஆரம்பிக்கும்.
அது என்னை இயக்க அனுமதிக்க வேண்டும் என்ன நபரின் இயங்கும் கட்டளை
முன் என் கட்டளை.
நான் ஒரு முறை கட்டளை இயங்கும்.
இந்த கடந்த சரங்களை - நினைவில் என்ன நான் பற்றி நீங்கள் தோழர்களே பேசினேன்,
நீங்கள் குறியாக்கம் வேண்டும், அதேசமயம் அதை ஒரு URL முறை.
நான் இப்போது இந்த ரன் என்றால் -
நான் இங்கே நீங்கள் காட்ட வேண்டும் -
நீங்கள் முடிவுக்கு என்று பார்க்க வேண்டும் ஒரு கட்டளையை இயங்கும்.
>> இந்த உண்மையில் உண்மையான சர்வர் ஆகிறது என் வலைத்தளத்தில் இயங்கும் என்று.
எனவே நாம் அதை விரும்பவில்லை, நான் இயக்க முடியும் என்பதால் -
இந்த சர்வர் என்னுடையது அல்ல.
அதனால் நான் குழப்பத்தை விரும்பவில்லை அவரது சகோதரி, மார்கஸ் சர்வர்.
ஆனால் நீங்கள் இன்னும் கட்டளைகளை இயக்க முடியும் ஆபத்தானது என்று.
மற்றும் திறன், நீங்கள் நீக்க முடியும் கோப்புகள், அடைவுகள் நீக்க.
நான் ஒரு குறிப்பிட்ட அடைவு என்றால் நீக்க முடியும் நான் செய்ய வேண்டும், ஆனால் நான் விரும்பவில்லை
மார்கஸ் என்று செய்ய.
அவன் நல்ல பையன் தான்.
அவர் என்னை தனது சர்வர் கடன் வாங்குவோம்.
அதனால் நான் அவரை பார்க்க போகிறேன் நல்ல ஒரு இனிய.
>> அதனால் என்ன, நாம் பயன்படுத்த வேண்டாம் - நாம் என்ன செய்ய eval அல்லது கணினி பயன்படுத்த வேண்டும்.
Eval அல்லது கணினி அனுமதிக்கிறது இந்த அமைப்பு அழைப்புகளை செய்ய.
Eval வழிமுறையாக மதிப்பீடு.
கணினி நான் ஓடி என்ன அர்த்தம்.
இது அமைப்பு ஒன்று நடத்தப்படும்.
ஆனால் நாம் இந்த விஷயங்களை தடை முடியும் PHP நாம் அவற்றை பயன்படுத்த வேண்டாம் என்று.
மற்றும் கோப்பு பதிவேற்ற.
நான் ஒரு அற்புதமான செய்ய போகிறேன் கோப்பு பதிவேற்று விஷயம்.
ஆனால் நான், என் கோப்பு உங்களுக்கு சொன்னேன் பதிவேற்ற விஷயம், வேலை இல்லை.
நான் இப்போது ஒரு கோப்பு பதிவேற்ற இருந்தால் -
நான் ஒரு கோப்பு பதிவேற்ற இருந்தால், அது ஒரு படம் தான் -
நீங்கள் ஒரு பதிவேற்ற விஷயம் என்று ஒரு படம் தான்.
அது நல்லது.
எதுவும் நடக்கும்.
>> ஆனால் நீங்கள் ஒரு கோப்பு பதிவேற்ற, வேண்டும் என்றால் எடுத்துக்காட்டாக, பயனர் உண்மையில் பதிவேற்றங்கள்
ஒரு PHP கோப்பு அல்லது ஒரு EXE கோப்பு அல்லது ஏதாவது என்று, நீங்கள் முக்கியமான முடியும்
ஒரு பிரச்சனை.
இந்த முன் வேலை.
துரதிருஷ்டவசமாக எனக்கு, அது தான் இனி வேலை இல்லை.
நான், உதாரணமாக, இந்த கோப்பு பதிவேற்ற என்றால், நான் பதிவேற்ற அனுமதி பெறுவது இல்லை
சர்வர் காரணமாக கோப்பு என்னுடைய இருப்பது இல்லை.
எனவே பையன் உண்மையில் புத்திசாலி.
>> எனவே நாம் விரும்பவில்லை -
நான் உங்களுக்கு காட்ட போகிறேன் -
சரி, இந்த சில உண்மையிலேயே கருவிகள் உள்ளன.
எனவே இந்த -
போக - நீங்கள் பயர்பாக்ஸ் இருந்தால் - வட்டம் நீங்கள் செய்கிறீர்கள்.
எல் புகுத்த என்று இரண்டு நீட்சிகளை இல்லை என்னை குறுக்கு தளம் ஸ்கிரிப்ட் என்னை.
அவர்கள் சிறிய பக்க திறக்க பக்கத்தில் பார்கள்.
நான் சென்று இருந்தால் உதாரணமாக CS60 -
அதனால் என்ன, அது என்ன, அது தெரிகிறது ஆகிறது அனைத்து விதமான என்று -
வட்டம், நான் பெற முடியாது இந்த பிரச்சனையில்.
>> ஆனால் சரி.
இங்கே முள் அமைப்பு தான்.
எனவே நான் துளைகள் தேடும் போது கணினி, நான் முதலில் ஆகிறது
இந்த அழகான சிறிய திறந்து பக்கத்தில் கருவி.
நான் வடிவங்களில் சோதிக்க போகிறேன் கார் தாக்குதல்கள்.
அதனால் இந்த என்ன அது மெதுவாக உள்ளது உலாவிகளில் ஒரு கொத்து திறக்க.
இங்கே உலாவிகளில் ஒரு கொத்து தான்.
அது ஒவ்வொரு இணைந்து முயற்சி கிராஸ் சைட் ஸ்கிரிப்ட் பற்றி
அங்கு, ஒருவேளை, அந்த நீங்கள் பக்கத்தில் பார்க்கிறீர்கள்.
>> அது எனக்கு ஒரு விளைவாக கொடுக்கும் பதில் என்ன வகையான.
அனைத்து கடந்து.
வெளிப்படையாக, அவர்கள் அனைத்து கடந்து.
நான் என்ன சொல்கிறேன் என்றால், அவர்கள் உண்மையிலேயே புத்திசாலி அங்கு மக்கள்.
ஆனால் நான் இருந்தால் ரன் -
நான் இந்த ரன் போது முன் முறை இருந்தது மாணவர்கள் 'இறுதி திட்டங்கள்.
நான் வெறுமனே ஊசி SQL ரன் அனைத்து பல்வேறு தாக்குதல்கள்.
மற்றும் இது SQL புகுத்த முயற்சி இந்த முள் சர்வர்.
நாம் கீழே இருந்தால், அதனால் எடுத்துக்காட்டாக, அது கூறுகிறது -
இது கொடுக்கிறது இந்த நல்லது.
>> அது சில குறிப்பிட்ட மதிப்புகளை சோதனை.
மற்றும் சர்வர் திரும்பினார் குறியீடு என்று எதிர்மறை இருந்தது.
தற்காலிகமாக நீக்க.
இந்த நல்லது.
அது இந்த சோதனைகள் முயற்சிக்கிறது.
எனவே நீங்கள் வெறுமனே இயக்க முடியும் -
நான் ஒரு இணையதளம் உண்மையான கண்டுபிடிக்க விரும்புகிறேன் விரைவான என்று எனக்கு அனுமதிக்க வேண்டும் -
ஒருவேளை, CS50 கடை.
>> ஆஹா, இந்த போகிறது நீண்ட வழி எடுத்து.
நான் சொல்கிறேன் முதல் டெஸ்ட் வலது முடிக்க முடியாது.
எனவே புகார் தான்.
எனவே இந்த மூன்று விஷயங்கள் உள்ளன.
இந்த கருவிகள் இலவச உள்ளன.
நீங்கள் அவர்களை பதிவிறக்கி அவற்றை இயக்க முடியும் உங்கள் இணையத்தளம், மற்றும் அதை நீங்கள் சொல்ல வேண்டும் என்றால்,
நீங்கள் கிராஸ் சைட் ஸ்கிரிப்ட் வேண்டும், நீங்கள் வேண்டும் என்றால் நீங்கள் SQL இருந்தால்
போன்ற ஏதாவது.
நான் அப்படி குளறுபடி.
>> என்ன முக்கியம் -
சரி, அதனால் பயனர் நம்ப முடியாது.
நீங்கள் என்ன பயனர் உள்ளீடுகளை, செய்ய நீங்கள் அதை sanitize, நீங்கள் அதை சுத்தம்,
நீங்கள் சரியான விஷயங்கள் சரிபார்க்க, அது என்ன நீங்கள் கொடுக்கும் என்று
அவரை நீங்கள் கொடுக்க வேண்டும்.
எப்போதும் புதுப்பிக்கப்படும் என்ன கட்டமைப்புகள் நீங்கள் உண்மையில் பயன்படுத்தி வருகிறோம்.
- நீங்கள் பூட்ஸ்ட்ராப் போன்ற ஏதாவது பயன்படுத்த வேண்டும் என்றால்
நான் உங்களுக்கு பயன்படுத்த போகிறோம் என்று அவர் போக நடக்கிறது ஏனெனில் பூட்ஸ்ட்ரேப்
இந்த விரைவில் வர்க்கம் -
மற்றும் வேர்ட்பிரஸ் அல்லது அது போன்ற ஏதாவது, பொதுவாக இந்த வெட்டி.
>> பின்னர் நீங்கள் கூட தெரியாது.
நீங்கள் உங்கள் வலைத்தளத்தில் இயங்கும்.
இது முற்றிலும் பாதுகாப்பானது.
நீங்கள் கீழே போகலாம்.
அதனால் நான் ஆரம்ப மீன்பிடித்து.
ஆனால் நான் Pentest ஆய்வகங்கள் நன்றி சொல்ல வேண்டும்.
நான் உங்களுக்கு ஏதாவது காட்ட போகிறேன் Pentest லேப்ஸ் எனப்பட்டது.
நீங்கள் உண்மையில் அக்கறை இருந்தால், உண்மையில், ஒரு என்ன இருக்கிறது என்று பாதுகாப்பு
Pentest ஆய்வகங்கள் என்றால் என்று இணையதளத்தில் நீங்கள் இப்போது அது போக.
ஓ, சரி, இது அது இல்லை.
நான் இதை இயக்க போகிறேன்.
கூகிள் எனக்கு பதில் சொல்கிறது.
>> சரி.
அதை நீங்கள் பயன்படுத்த கற்றுக்கொடுக்கிறது - அது என்கிறார், வலை ஊடுருவல் அறிய
சரியான வழியில் சோதனை.
அதை நீங்கள் கற்றுக்கொடுக்கிறது -
வட்டம், நீங்கள் ஒரு நெறிமுறை நபர்.
ஆனால் அதை நீங்கள் பார்க்க முடியும் என்பதை நீங்கள் கற்றுக்கொடுக்கிறது நீங்கள் வலைத்தளங்களில் உள்ளே எப்படி.
நீங்கள் கற்று நீங்கள் உள்ளே பெற முடியும் எப்படி இணையதளங்கள், நீங்கள் கற்று கொள்ள முடியும் எப்படி
பெறுவதில் இருந்து உங்களை பாதுகாக்க உள்ளே வலைத்தளங்கள்.
என்னை பெரிதாக்க நாம் ஒருவேளை நீங்கள் ஏனெனில் இது சரியான பார்த்து இல்லை.
>> SQL ஊசி இருந்து, ஷெல் அப்படி நான் SQL இருந்து பெற முடியும் எப்படி
ஷெல் ஊசி.
நீங்கள் இந்த மெய்நிகர் இயந்திரம்.
மற்றும் மெய்நிகர் இயந்திரம் ஏற்கனவே வருகிறது நீங்கள் அந்த வலைத்தளத்தில்
அதை முயற்சி செய்ய போகிறேன்.
நீங்கள் இந்த PDF பதிவிறக்க.
அது வரி மூலம் நீங்கள் வரி காண்பிக்கும் என்ன நீங்கள் பார்க்க என்ன, செய்ய வேண்டும்.
இந்த என்ன ஒரு தாக்குதல் உண்மையில் ஆகிறது ஒரு இணையதளம் உள்ளே பெற செய்கிறது.
>> இந்த பொருட்களை சில சிக்கலாக உள்ளது.
நான் இன்னும் செல்ல விரும்புகிறேன் உங்களுக்கு விஷயங்கள்.
ஆனால் நான் கவலைப்பட என்று நீங்கள் உண்மையில் இல்லை -
இந்த நான் போய் என்ன ஆகிறது நீங்கள், வலை சோதனைகள்
ஊடுருவல் சோதனை.
உண்மையில் எனக்கு தெரியாது என்ன SQL என்ன -
கார்ல் ஜாக்சன் கருத்தரங்கு அதே அருமையாக உள்ளது.
நீங்கள் மாதிரியான தெரியாது இந்த என்ன.
ஆனால் நீங்கள் இந்த இணையதளத்தில் சென்று, மற்றும் இந்த பயிற்சிகள் இந்த பதிவிறக்க
கள், நீங்கள் அப்படி ஒரு தோற்றத்தை எடுக்க முடியும் பாதுகாப்பு பகுதியில் உண்மையில் என்ன
ஊடுருவல் சோதனை, பார்க்க எப்படி நீங்கள் உள்ளே வலைத்தளங்கள் மற்றும் பாதுகாக்க
அது உங்களை இருந்து.
>> அதனால் நான் ஒரு சூப்பர் விரைவான கண்ணோட்டம் செய்தால், அது கிராஸ் சைட் ஸ்கிரிப்ட் தடுக்க வேண்டும்.
நீங்கள் htmlspecialchars ஒவ்வொரு பயன்படுத்த வேண்டும் பயனர் உள்ளீடுகளை ஏதாவது நேரம்.
SQL ஊசி தடுக்க.
நீ அப்படி செய்தால், நீங்கள் ஏற்கனவே இருக்கும் ஹார்வர்ட் விட நன்றாக
அவர்கள் மீறப்படுகின்றன போது.
உங்கள் கடவுச்சொற்களை உறுதி உரை இல்லை.
நீங்கள் செய்ய ஒரு வழி புல மட்டும் செய்ய அவர்கள் ஆனால் நீங்கள் மறைவான பயன்படுத்த, PHP
நான் உங்களுக்கு காட்டியது என்று செயல்பாடு.
அந்த வகையில், நீங்கள் நல்ல இருக்க வேண்டும்.
>> உங்கள் நண்பர்கள் கூட, நீ, ரன் தங்கள் வலைத்தளங்களில் ஊசி SQL.
இயக்கவும் கிராஸ் சைட் ஸ்கிரிப்ட் தங்கள் வலைத்தளங்களில்.
நீங்கள் இந்த வலைத்தளங்கள் நிறைய காணலாம் பாதிப்புகள் ஒரு டன்.
இது மிகவும் மக்கள் மறக்க எப்படி நம்பமுடியாமல் அவர்களின் தரவுத்தளங்களை மாதங்களாக அல்லது செய்ய
நிச்சயமாக என்ன நபரின் உள்ளிடல் ஸ்கிரிப்ட் குறியீடு அல்ல.
சரி.
நான் அப்படி உண்மையில் ஆரம்ப முடிந்தது.
ஆனால் யாரையும் பற்றி எந்த கேள்விகள் இருந்தால் எதையும், நீங்கள் எனக்கு ஒரு கேள்வி சுட முடியும்.
சரி.
போ, போ.
>> பார்வையாளர்கள்: நான் கேட்க விரும்புகிறேன், நீங்கள் கோப்பு எப்படி விளக்க முடியும்
சரியாக வேலை பதிவேற்ற.
>> லூசியானா ARANGO: ஆமாம்.
எனவே, என்னை நீங்கள் கோப்பு காட்ட நாம் உண்மையான விரைவு பதிவேற்ற.
எனவே கோப்பு பதிவேற்ற -
பிரச்சனை கோப்பு பதிவேற்றம் கருவுற்று இப்போது அந்த ஆகிறது -
நான் உங்களுக்கு குறியீடு திறக்க போகிறேன் திரைக்கு பின்னால் குறியீடு பார்க்க.
மற்றும் அதை ஏற்ற வேண்டும்.
இங்கே கோப்பு பதிவேற்றம் ஒரு குறியீடு தான்.
>> நாம் இந்த செல்ல முயற்சிக்கும் இங்கே அடைவு.
நாம், முயற்சிக்கும் நாம் உள்ளீடு முறை கோப்பு, isset கோப்பு - போது ஒரு உள்ளது
பின்னர், கோப்புகள், அந்த படத்தை ல் தாக்கல் நாம் இங்கே அதை நகர்த்த முயற்சிக்கின்றோம்.
நாம் இங்கு கோப்பு கைப்பற்றுகின்றனர்.
முறை பின், வகை,, படம், கோப்பு உள்ளது.
நாம் இந்த கோப்பு அனுப்பி வருகிறோம்.
மற்றும் நாம் அதை ஒரு முறை, ஒரு முறை கோப்பை ஒரு படம் உள்ளது, அதை அனுப்ப முயற்சிக்கும்
இந்த அடைவு.
>> பிரச்சனை வலைத்தளத்தில் அல்ல என்று ஆகிறது என்னை இந்த அடைவில் செல்ல விடாமல்
அது எனக்கு திரும்பி போக வேண்டும், இல்லை, ஏனெனில்.
அது எனக்கு போக வேண்டும் இல்லை -
நான் போக வேண்டும் - அதனால் இங்கே பதிவேற்ற தான்.
இங்கே படங்கள் தான்.
நான் அனைத்து வழியில் செல்ல வேண்டும் பின்னர் தொடங்கி உள்ளது அதை வைத்து
சென்று அடைவு அதை வைத்து.
நான் ஒரு முனை விண்டோவில் இயங்கும் என்றால், நான் ஒரு கோப்பு நகர்த்த வேண்டும் -
[செவிக்கு புலப்படாமல்]
அதை பார்க்க முடியும்.
நான் ஒரு கோப்பு நகர்த்த வேண்டும் என்றால், நான் பின்னர் கோப்பு பெயர் வைத்து கொள்ள
முழு பாதையை நான் அதை அனுப்ப வேண்டும்.
>> பின்னர் சேவையகம் இல்லை என்னை திரும்பி செல்ல.
அதனால் அதை விடாமல் இல்லை அந்த கோப்பை பெற.
ஆனால் பொதுவாக -
அதனால் ஒரு குறியீடு உள்ளது ஒரு கோப்பை பதிவேற்றம்.
எனவே பொதுவாக என்ன நடக்கும் என்று நபர் சோதனை இல்லை என்றால் என் கோப்பை
. JPEG முடிவடைகிறது, அதனால் நான் சரிபார்க்க வேண்டும்.
எனக்கு மிகவும் உண்மையான விரைவான ஒரு உதாரணம் திறந்து விட.
>> சரி.
இந்த நபர் வலது -
எடுத்துக்காட்டாக இரண்டு சோதனை preg_match என்றால் -
இங்கே அது இங்கே இருக்கிறது -
உறுதி முடிவடைகிறது செய்ய நல்ல இது PHP,.
இந்த நல்லது.
ஆனால் ஒரு உண்மையான பெரிய உள்ளது இந்த பிரச்சனை.
இந்த நல்லது.
ஆனால் நான் ஒரு கோப்பு வைத்து இருந்தால் myfavoritepicture.php.jpeg, நான் முடிந்தவரை
இன்னும் முக்கியமான JPEG பெற மற்றும் அந்த PHP இன் ஆபத்தான it.k ரன்.
நீங்கள் நபர் முடியும் விரும்பவில்லை உங்கள் வலைத்தளத்தில் குறியீடு ரன்.
>> ஆனால் பின்னர். JPEG அதை கடந்து முடிகிறது.
கருத்தை நீங்கள் உண்மையில் செய்ய வேண்டும் என்ன ஆகிறது கோப்புகளை, ஏ ஆனால், சரி, இல்லை என்ன
நீங்கள் உண்மையில் செய்ய வேண்டும் என்பதை உறுதி செய்கிறது நீங்கள் முழு உலகம் முழுவதும் படிக்கிறீர்கள்.
மற்றும் எதுவும் இல்லை. அது PHP.
எந்த. PHP இல்லை முழு கோப்பு பெயர்.
>> பார்வையாளர்கள்: ஆனால் நீங்கள் முடியும் வைத்து. JPEG இறுதியில்.
சர்வர்கள் இன்னும் குறியீடு ரன்.
>> லூசியானா ARANGO: இல்லை, அது முடியாது ஆரம்பத்தில் ரன்.
நீங்கள் திரும்பி சென்று முயற்சி செய்ய வேண்டும் நீங்கள் பார்க்க -
>> பார்வையாளர்கள்: நாம் வேண்டும் -
சரி, அடங்கும் என்று மற்றொரு தொகுப்பு -
>> லூசியானா ARANGO: ஆமாம்.
>> பார்வையாளர்கள்: சரி.
>> லூசியானா ARANGO: ஆமாம்.
சரி.
வேறு ஏதேனும் கேள்விகள்?
சரி.
நான் இந்த விட்டு வரிசைப்படுத்த போகிறேன் நீங்கள் தோழர்களே பார்க்க முயற்சி -
மற்ற ஒன்றை சற்று இருக்கின்றன அவர்கள் மிகவும் தேவைப்படும் சிக்கலான ஏனெனில்
விட, SQL இன்னும் அறிவு தான் வலை, SQL தொடங்கி அறிவு மற்றும்
என்ன ஜாவா ஆகிறது.
ஆனால் நான், இந்த நாள் வரை வைக்க முயற்சி போகிறேன் மற்றும் வட்டம் நீங்கள் கற்று
இது பற்றி மற்றும் ஒரு கண்ணோட்டம் எடுக்க முயற்சி நீங்கள் என்ன செய்ய முடியும், எப்படி பல உதாரணங்கள்
நீங்கள் மூலம் பெற முடியும்.
>> எவரும் எந்த வேண்டும் அதை பற்றி கேள்விகள்?
போ.
சரி, படம், படப்பிடிப்பு.
சரி, போய்.
போ.
>> பார்வையாளர்கள்: சரி.
அதனால் நான் பற்றி எப்படி மேஜிக் மேற்கோள்கள் போதுமான பாதுகாப்பு இல்லை.
>> லூசியானா ARANGO: என்ன -
மேஜிக் மேற்கோள்கள்?
>> பார்வையாளர்கள்: ஆமாம்.
எனவே அதை சேர்க்கிறது - இவ்வளவு போதெல்லாம் நீங்கள் உள்ளீடு ஒன்று, அது எப்போதும் மேற்கோள் சேர்க்கிறது.
>> லூசியானா ARANGO: ஆமாம்.
சரி.
>> பார்வையாளர்கள்: நான் கூட, வேலை என்று ஆனால் நான் அதை தேடியது.
அது நல்லதல்ல என்றார்.
ஆனால் நான் ஏன் என்று தெரியவில்லை.
>> லூசியானா ARANGO: ஆமாம்.
>> பார்வையாளர்கள்: மேஜிக் மேற்கோள் பயன்படுத்த வேண்டாம் அது பாதுகாப்பான இல்லை, ஏனெனில்.
>> லூசியானா ARANGO: சரி.
நீங்கள் SQL செருக போது மேஜிக் மேற்கோள் அது ஏற்கனவே நீங்கள் மேற்கோள் சேர்க்கிறது.
>> பார்வையாளர்கள்: அது எப்போதும் மேற்கோள் சேர்க்கிறது நீங்கள் உள்ளே வைத்து என்ன சுற்றி
>> லூசியானா ARANGO: ஆமாம்.
அதனால் பிரச்சனை என்று ஆகிறது -
நான் பார்த்து கொள்கிறேன் -
>> பார்வையாளர்கள்: அது எப்படி கிடைக்கிறது SQL அறிக்கைக்கும்?
அல்லது நான் இருக்க முடியும் என நினைக்கிறேன் போன்ற மேற்கோள் தேர்ந்தெடுக்கவும்.
>> லூசியானா ARANGO: ஆமாம், நீங்கள் வேண்டும் SQL நல்ல மேற்கோள்.
>> பார்வையாளர்கள்: இல்லை, ஆனால் சர்வர் நீங்கள் அதை செய்கிறது.
>> லூசியானா ARANGO: இந்த சிறிய மேற்கோள் இங்கே, இந்த சிறிய மேற்கோள்?
>> பார்வையாளர்கள்: ஆமாம்.
>> லூசியானா ARANGO: ஆமாம்.
பிரச்சனை நீங்கள் என்று கடந்த அவுட் கருத்து -
சரி, நான் என்ன செய்ய முடியும் என்று நான் கருத்து வெளியே - அதனால் பாருங்கள் விட - என்னை விட
ஒரு உரை கோப்பு, திறக்க.
என்னை இந்த திருத்த நாம் இங்கே நேரடியாக.
சரி.
நீங்கள் தெளிவாக பார்க்க முடியும்?
நான் என்ன செய்ய முடியும் நான் கருத்து இருக்கிறது கடந்த ஒரு அவுட்.
இது கடந்த ஒரு கருத்து இருக்கும்.
பின்னர் நான் வைத்து, இங்கே ஒரு வைக்கிறேன் இங்கே அனைத்து தீங்கிழைக்கும் பொருள்.
>> எனவே பயனர் உண்மையில் வலது, உள்ளிடல்?
பயனர் உள்ளிடல் இல்லை விஷயங்களை, சரியான?
இந்த நான் உள்ளீடு போகிறேன் என்ன ஆகிறது உள்ளே பெற முயற்சி நபர்.
நான் செய்ய போகிறேன் -
என்று ஒரு மேற்கோள் குறி தான்.
அது தவறு தான் Squiggly தான்.
பின்னர் என்ன குறியீடு என்ன செய்ய போகிறாய் ஆகிறது -
மன்னிக்கவும், நான் இந்த எடுத்து போகிறேன்.
என்ன குறியீடு செய்ய போகிறது ஆகிறது அது முதல் சேர்க்க நடக்கிறது
மேற்கோள் இங்கே குறிக்கிறது.
அது கடந்த சேர்க்க நடக்கிறது மேற்கோள் குறி அதே.
>> மேலும் அது சேர்க்க நடக்கிறது கடந்த, கடந்த மேற்கோள் குறி.
ஆனால் நான் இந்த மேற்கோள் பந்தமில்லை குறிக்கிறது, அதனால் அவர்கள் இயக்க வேண்டாம்.
நான் இந்த மேற்கோளை முடித்த இங்கு குறிக்க.
உங்களுக்கு புரிகிறதா?
செய்கிறாயா?
நான் கடந்த மேற்கோள் கருத்து மார்க், மற்றும் பார்த்துக்கொள்
முதல் மேற்கோள் குறி.
>> பார்வையாளர்கள்: பினிஷ் முதல் ஒரு.
>> லூசியானா ARANGO: ஆமாம்.
மற்றும் முதல் ஒரு முடிக்க.
சரி, சரி என்று.
நான் என்ன செய்ய முடியும்.
சரி.
என்று வேறு ஏதேனும் கேள்விகள்?
என்று ஒரு பெரிய கேள்வி.
இல்லை, சரி, ஒருவேளை.
வட்டம், நீங்கள் அப்படி செய்யும் நீங்கள் SQL மற்றும் ஆய்வு செய்யும் போது இன்னும் உணர்வு
அந்த போன்ற விஷயங்கள்.
ஆனால் நீங்கள் உறுதி செய்ய -
கடிகாரம், இந்த கருவிகள் வைக்க.
மன்னிக்கவும், இங்கே இந்த கருவிகள்.
இந்த கருவிகள் பெரும்.
யாரும் எந்த கேள்விகள் இருந்தால், நீங்கள் எனக்கு மின்னஞ்சல் செய்யலாம்.
இந்த என் வழக்கமான மின்னஞ்சல் ஆகிறது.
இந்த, என் வேலை மின்னஞ்சல் இது நான் சமுத்திரத்தின் வேலை செய்யும் போது ஆகிறது.
>> சரி, நன்றி.
நன்றி, நண்பர்களே.
நீங்கள் செல்ல நல்ல இருக்கும்.
நீங்கள் இங்கே இருக்க வேண்டாம்.
கைத்தட்ட வேண்டாம்.
என்று வித்தியாசமாக இருக்கிறது.
சரி, நன்றி, தோழர்களே.