>> Luciano میں ARANGO: ٹھیک ہے، لوگ.
میرا نام Luciano میں Arango ہے.
میں ایڈمز ہاؤس میں ایک sophomore ہوں.
اور ہم کے بارے میں بات کرنے جا رہے ہیں ویب سلامتی فعال دفاع.
تو میں نے معلومات کے دفتر کے لئے کام سمندر میں سیکورٹی.
اور موسم گرما میں، میں قید ایک معلومات تھی جس SeguraTec،
کی خدمت کی ہے کہ سیکورٹی کمپنی کولمبیا کے بینک کے لئے.
میں نے سیکھا کہ جہاں زیادہ تر میں نے اب تک سیکھا ہے.
>> اور اس طرح ہم ہیں کہ مال کی کچھ آج جانے کے لئے جا، ہم نہیں ہیں
واقعی کلاس میں کے بارے میں بات.
لیکن ہم جلد ہی.
یہ SQL، جاوا سکرپٹ کی طرح ہو رہا ہے.
اور ہم نے واقعی اس پر نہیں گئے.
تو میں اس کے ذریعے پرواز کے حل، اور کر سکتے ہیں آپ کو کچھ باتیں معلوم نہیں ہو سکتا.
لیکن جلد ہی، آپ کو یہ پتہ چل جائے گا.
اور یہ سب احساس بنا دیں گے.
اس کے علاوہ ایک اور بات -
اخلاقی رہنے کے.
آپ کو جاننے سے کچھ چیزیں جو، آپ غیر اخلاقی طریقوں سے استعمال کر سکتے ہیں.
>> یہ تمہارا ہے تو، یقینی طور پر کرنے کی کوشش کریں.
میں ضرور تم لوگوں کی حوصلہ افزائی آپ کے اپنے سرور کی کوشش کرنے، کی کوشش کریں
ان کے اندر جا رہا.
آپ کو ان میں داخل کر سکتے ہیں دیکھو، آپ کو ان کے اندر حاصل کر سکتے ہیں.
لیکن کسی اور کو ہے.
پولیس واقعی مذاق پسند ہے اور نہیں پوری، ہم یہاں یہ ڈال.
ہم کے ارد گرد الجھ رہے تھے.
وہ واقعی غصہ.
>> تو اس ویب سائٹ کے اوپر سے سر.
میں نے اسے یہاں کھول دیا ہے.
یہ ایک ویب سائٹ ہے، اور یہ مثالیں کا ایک گروپ ہے.
کیا ہوتا ہے یہ ہے کہ پہلی مثال کی طرح بہت آسان ہو جا رہا ہے
احساس میں گزشتہ مثال سے کہ سب سے پہلے مثال کے طور پر
مکمل طور پر غیر محفوظ ہے.
اور گزشتہ ایک طرح کی کیا ہے عام ویب سیکورٹی شخص کرے گا.
لیکن آپ اب بھی حل کر سکتے ہیں کے اس کے ارد گرد حاصل.
اور ہم نے ایک پر توجہ مرکوز کرنے کے لئے جا رہے ہیں اور دو، مثالیں ایک اور دو.
>> ٹھیک ہے.
کراس سائٹ سکرپٹ کے ساتھ شروع کرتے ہیں.
جاوا سکرپٹ کو چلایا جاتا ہے کلائنٹ کے براؤزر.
یہ آپ استعمال کرتے ہیں ایک پروگرامنگ زبان ہے کلائنٹ کے براؤزر پر اتنا چلانے کے لئے
آپ کی ویب سائٹ کو اپ ڈیٹ کرنے کی ضرورت نہیں ہے اور واپس سرور پر جانا.
آپ یہ چل رہا ہے.
مثال کے طور پر، فیس بک، آپ کی ضرورت نہیں ہے نئی حیثیت کے لئے ویب سائٹ دوبارہ لوڈ
اپ ڈیٹ آئے.
یہ پیدا کرنے کے لئے جاوا اسکرپٹ کا استعمال کرتے ہوئے ہے ان سب باتوں کو.
تو ہم نے بدنیتی پر مبنی جاوا اسکرپٹ کا انجیکشن کر سکتے ہیں ویب سائٹس میں.
اور اس طرح، ہم نے کے لئے ایک لنک بھیج جب کسی کو، ہم قسم کی کے ساتھ اس بھیج سکتے
ہم چاہتے ہیں کہ کوڈ کے کچھ.
>> مستقل اور غیر مستقل ہے جاوا سکرپٹ -
مسلسل اور غیر مسلسل کراس سائٹ سکرپٹ، میرا مطلب ہے.
اور فرق یہ ہے کہ مسلسل ہونے ہو جائے گا کہ جاوا اسکرپٹ کا ہے
ویب سائٹ پر محفوظ کر لیا.
اور غیر مستقل جاوا اسکرپٹ کا ہو جائے گا کہ اصل میں صرف ایک بار ہو گا.
تو اس کی ایک مثال کے طور پر نظر آتے ہیں اصلی فوری.
>> ٹھیک ہے.
تو اس ویب سائٹ، سادہ، یہاں کچھ ہوتا ہے.
اور ہم کوشش کرنے کے لئے جا رہے ہیں کچھ جاوا اسکرپٹ ڈالیں.
تو ہم کو جاوا اسکرپٹ لکھنا شروع راستہ ہم شروع سکرپٹ کے ساتھ شروع ہوتا ہے.
اور ہم نے اسکرپٹ کے ساتھ اسے بند.
ہم صرف ایک پیغام ڈال کے لئے جا رہے ہیں -
میں تمہیں دکھاتا ہوں -
الرٹ.
انتباہ ایک تقریب ہے کہ جاوا اسکرپٹ کچھ ظاہر کرنے کے لئے استعمال کرتا ہے.
تو یہ اصلی جلد کے کرنے کی کوشش کریں.
میں نے، جانے کے لئے الرٹ خوش جا رہا ہوں.
ٹھیک ہے، میں ڈال کرنے کے لئے بھول گیا -
ٹھیک ہے.
تو یہ آسان ہے.
>> ہم نے ایک ویب سائٹ پر جاوا سکرپٹ کو ڈال دیا، اور یہ آیا.
اور اس طرح کے صرف ہوتا ہے ہماری ویب سائٹ پر، ٹھیک ہے؟
یہ نہیں ہے جیسے تو یہ لگتا ہے ایک مسئلہ، صحیح ہے؟
میرا مطلب ہے، آپ کو کس طرح استعمال کر سکتے ہیں اس بدنیتی؟
ہیکروں ہے تاکہ راستہ یہ واقعی آسان ہے.
انہوں نے اس پر قبضہ کرنے جا رہے ہیں.
وہ آپ کو اس لنک پر بھیج سکتے ہیں.
میں ابھی آپ کو اس لنک پر بھیج دیں گے تو، اور آپ اسے کھولو، یہ جا رہا ہے
کہہ، خوش، کا کہنا ہے کہ میری ویب سائٹ خوش تم سے کہہ رہا ہے.
>> اور اس میں کچھ کا کہنا ہے کہ اگر تھوڑا سا ہوشیار، میں اوپر ھیںچو اگر
جاوا اسکرپٹ کی تقریب میں قسم پہلے سے ہی لکھا ہے -
تم اسے دیکھو تو، میں جاتا ہوں میں یہ لکھا ہے اس سے پہلے اس پر.
تو ہم نے ایک ٹائم آؤٹ قائم کرنے کے لئے جا رہے ہیں.
ہم انتظار کرنے کے لئے جا رہے ہیں ایک جوڑے چلیں.
اصل میں، اگر ہم انتظار کرنے کے لئے جا رہے ہیں میں، پانچ سیکنڈ غلط نہیں ہوں.
یہ milliseconds میں چلا جاتا ہے.
اور پھر کیا ہم کیا کرنے جا رہے ہیں جو ہم کر رہے ہیں آگاہ کرنے کے لئے کی جا رہی ہے کہ لاگ ان
واپس اندر لاگ ان کرنے کا وقت ختم ہوگیا
اور ہم جگہ تبدیل کرنے جا رہے ہیں ایک مختلف جگہ کرنے کے لئے.
>> تو میں نے کسی کو اس ویب سائٹ کے بھیج دیں تو، وہ جا رہے ہیں
پرسکون، کے ارد گرد براؤزنگ.
کچھ بھی نہیں ہو رہا ہے.
اور پانچ سیکنڈ میں، یہ جا رہا ہے کا کہنا ہے کہ، آپ کی لاگ ان کا وقت ختم ہوگیا.
واپس اندر مہربانی لاگ ان کریں
وہ ٹھیک ہے کلک کریں ایک بار، میں جا رہا ہوں کسی اور ویب سائٹ پر ان کے لے.
شاید، ویب سائٹ پر جا رہا ہے ویب سائٹ کے لئے اسی طرح کی ہے کہ
وہ پہلے تھے.
اور وہ لاگ ان کرنے کے لئے جا رہے ہیں ان میری ویب سائٹ کی بجائے میں اسناد
ان کی ویب سائٹ.
>> اور اس میں لوگوں کو ایک بھیج سکتے ہیں اس لنک کے ساتھ ای میل کریں.
میں اوہ، یہاں ایک لنک ہے، کا کہنا ہے کہ.
یہ مثال کے طور پر، ایک بینک ہے.
میں یہاں، کا کہنا ہے کہ اس لنک پر جاؤ.
وہ اس کے بھیجنے اور ایک بار، وہ کر رہے ہیں کے ارد گرد براؤزنگ جا رہا.
میں 15 سیکنڈ، 20 سیکنڈ کے لئے انتظار کر سکتے ہیں، اور پھر اس میں واپس مہربانی لاگ ان کریں پاپ
پر دستخط.
لوگ آپ کے ساتھ یہ کوشش کر سکتے ہیں بہت زیادہ چیزیں ہیں.
یہ پیچیدہ ہے تم لوگوں کی وجہ سے جاوا سکرپٹ کو دیکھا، تو آپ شاید نہیں ہے
بعض افعال پتہ نہیں.
لیکن آپ کو یہ کرنا ہے کہ آغاز ہے اسکرپٹ کے ساتھ، اسکرپٹ کے ساتھ ختم.
اور تم کچھ بھی ڈال سکتے ہیں درمیان میں.
>> انتباہ کے لئے انتظار کریں، ایک تقریب ہے.
ونڈو مقام لیتا ہے ایک نئے مقام پر.
لیکن آپ کو اتنا زیادہ کر سکتے ہیں.
اور اس کا خیال ہے کہ ہم اس سے دور لے.
میں نے مثال کے طور پر دو کرنے کے لئے جانا، اور میں تو اسی کے کوڈ میں ڈال دیا، یہ ہے
کام کرنے کے لئے نہیں جا رہا.
تو اس کی وجہ سے سب کچھ چھپائی ہے کیا اس ویب سائٹ کے اصل
میں یہاں کچھ ڈال دیا ہے کرتا ہے، یہ یہاں اسے باہر پرنٹ کریں گے.
تو یہ کچھ بھی چھپائی نہیں ہے.
یہ مثال اصل کی جانچ پڑتال کی ہے سکرپٹ ہے تو دیکھنے کے لئے.
تو جی ہاں، آگے بڑھو.
مجھ سے پوچھو.
>> سامعین: بھیجنے نہیں ہے ایک حاصل کرنے کے لئے یا درخواست POST؟
>> Luciano میں ARANGO: جی ہاں. وہ کر رہے ہیں ایک حاصل کی درخواست بھیجنے.
>> سامعین: یہ کیا ہے؟
>> Luciano میں ARANGO: جی ہاں.
اس کے علاوہ براؤزر درخواستوں کو پوسٹ کریں کا استعمال کریں.
لیکن میں حاصل کی درخواستوں کو ظاہر کرنے کے لئے کوشش کر رہا ہوں ہم کیا ہے کو دیکھنے کے کر سکتے ہیں تاکہ
اصل میں ہو رہا.
اور اس طرح ہم اس کوڈ میں نظر آتے ہیں - تو یہ اب کام نہیں کر رہا.
اور ہم نے اس کے کوڈ پر ایک نظر ڈالیں تو، یہ مثال کے طور پر دو میں ہونے جا رہا ہے.
اس شخص کیا کر رہا ہے، اس شخص کو اس براؤزر کے انچارج میں -
ٹھیک ہے، کھول -
لفظ سکرپٹ کی جگہ ہے.
یہ پی ایچ پی کی ہے، جس میں آپ لوگ شاید ابھی تھوڑا سا دیکھا ہے.
>> وہ صرف کی جگہ ہے نام کے ساتھ لفظ سکرپٹ.
تاہم، مجھے آگے جانا ہے تو اور صرف میں ڈال دیا -
میں پھر اپنے کوڈ پر قبضہ، اور میں جا رہا ہوں اگر یہ صرف ایک تھوڑا سا نظر ثانی کرنے.
اس کے بجائے سکرپٹ، میں تبدیل کرنے کے لئے جا رہا ہوں یہ ایک دارالحکومت آر اور کے ساتھ سکرپٹ کے لیے
ہم اس کوڈ کام کرتا ہے کو دیکھنے کے لئے جا رہے ہیں.
تو یہ، اسے باہر پرنٹ نہیں کیا جس میں ایک اچھی علامت ہے.
اور امید ہے کہ مزید دو سیکنڈ میں، یہ پاپ اپ کرنے کے لئے جا رہا ہے.
>> آپ لاگ ان کا وقت ختم ہوگیا.
ٹھیک ہے.
یہ ٹھیک ہے.
تو سکرپٹ کے لئے جانچ پڑتال ہو سکتا ہے ضروری کام نہیں.
شخص -
یہ بھی سکرپٹ بڑے کے لئے چیک کر سکتے ہیں، سکرپٹ چھوٹے، ایس ٹی آر کیس
وہ ایک ہی ہیں اس بات کا یقین، کا آپس میں موازنہ.
لیکن ہیکر بھی کیا کی طرح کر سکتے ہیں ہم منتقل کر دیا گیا جب ہم Vigenere میں کیا تھا
واپس ایک جوڑے حروف، آگے بڑھنے.
اور یہ سکرپٹ ڈال کرنے کے لئے کس طرح کے اعداد و شمار کر سکتے ہیں اسے واپس انجیکشن کر سکتے ہیں تو وہاں میں
کہ سکرپٹ.
>> تو کیا آپ استعمال کرنا چاہتے ہیں htmlspecialchars ہے
آپ کی ویب سائٹ کی حفاظت.
اور اس کا کیا ہے یہ کرتا ہے یقین ہے کہ آپ میں ڈال دیا کیا ہے -
مثال کے طور پر، کوٹیشن یا اس - سے زیادہ سے زیادہ یا اس سے کم
کچھ کے ساتھ تبدیل کیا جاتا ہے کہ نہیں ہو گا -
مجھے یہاں میں زوم -
اصل ایمپرسینڈ.
یہ ان خصوصی HTML جگہ لے لے گا ہم جب ہم دیکھیں گے کہ حروف
کے بارے میں بات -
اوہ، اس پر مجھے واپس لے جا رہا ہے -
یہاں ان حروف.
>> ان کی نشاندہی ہے کہ کچھ آ رہا ہے.
ایچ ٹی ایم ایل، کہ شروع بریکٹ کے لئے ہمیں بتاتا ہے کہ کچھ
متعلقہ HTML آ رہا ہے.
اور ہم اس سے چھٹکارا حاصل کرنا چاہتے ہیں.
ہم میں ایچ ٹی ایم ایل میں ڈال نہیں کرنا چاہتا website.k ہم صارف بننا چاہتا ہوں نہیں ہے
ان کی ویب سائٹ میں کچھ ڈال کرنے کے قابل اس طرح، ان کی ویب سائٹ متاثر کر سکتا ہے
سکرپٹ یا HTML یا اس طرح کچھ.
کیا ضروری ہے ہے کہ آپ صارف کی ان پٹ جراثیم کشی.
>> تو صارفین کی ان پٹ بہت سی چیزیں کر سکتے ہیں.
انہوں نے کہا کہ ان پٹ کی کوشش کرنے کے سامان کا ایک گروپ کر سکتے ہیں اب بھی میں آپ کے براؤزر دھوکہ
اس سکرپٹ کے کوڈ کو چلانے کے.
آپ کیا کرنا چاہتے ہیں صرف نظر نہیں ہے سکرپٹ کے لیے، لیکن سب کچھ کے لئے تلاش کریں
کہ بدنیتی پر مبنی ہو سکتا ہے.
اور htmlspecialchars کروں گا کہ آپ کے لئے، تو آپ کی ضرورت نہیں ہے
اس کے بارے میں فکر کرنے کی.
لیکن خود کی طرف سے ایسا کرنے کی کوشش نہیں کرتے ترتیب کے اپنے کوڈ کے ساتھ.
سب XSS واضح ہے؟
>> ٹھیک ہے.
کی SQL انجکشن چلتے ہیں.
تو SQL انجکشن شاید ہے نمبر ایک خطرے کا سامنا
مختلف ویب سائٹس میں.
میں، ایک اچھی مثال کا مطلب -
میں صرف بھاگنے پر تحقیق کیا گیا اس بات کے لئے.
اور میں نے یہ بہت اچھا مضمون، جہاں میں ہارورڈ کی خلاف ورزی نے دیکھا کہ،
ہیک کیا گیا تھا.
اور میں، ٹھیک ہے، سوچ رہا تھا وہ یہ کس طرح کریں گے؟
ہارورڈ، سب سے زیادہ خوفناک ہے سب سے زیادہ کبھی یونیورسٹی کو محفوظ بنانے کے.
ٹھیک ہے نا؟
ٹھیک ہے، سرور کی خلاف ورزی کرنے کے لئے، ہیکروں نے ایک استعمال کیا جاتا ہے
SQL انجکشن کہا جاتا تکنیک.
>> تو اس دن کی بنیاد پر ایک دن ہوتا ہے.
لوگوں کے اکاؤنٹ لینے کے لئے بھول جاتے ہیں SQL انجکشن کے لئے.
ہارورڈ کرتا ہے.
میں نے اس پرنسٹن، یہاں کا کہنا ہے کہ لگتا ہے سٹینفورڈ، کورنل.
تو ہم کس طرح کرتے ہیں - تو اس SQL کیا ہے ان تمام لا رہا ہے کہ انجکشن
لوگوں کو؟
ٹھیک ہے.
تو ایس کیو ایل ایک پروگرامنگ زبان ہے کہ ہم ڈیٹا بیس تک رسائی حاصل کرنے کے لئے استعمال.
ہم کیا کرتے ہیں ہم کو منتخب ہے -
تو کیا یہ حق اب پڑھتا منتخب کریں میز سے سب کچھ.
>> SQL، یہ ڈیٹا بیس میں تبدیل معلومات کے مکمل میزیں ہے.
تو صارفین کی طرف سے سب کچھ کا انتخاب کریں نام صارف کا نام کہاں ہے.
ٹھیک ہے نا؟
کافی آسان ہے.
SQL انجکشن کا خیال ہے کہ ہم کچھ درنساوناپورن کوڈ داخل کرے گا
کچھ چل رہا ہے میں سرور دھوکہ کیا اس سے مختلف
اصل میں چل رہا تھا.
تو رکنیت کے لئے کہتے ہیں، ہم میں ڈال دیا یا 1 1 برابر.
تو ہم میں ڈال دیا یا 1 1 برابر.
اب یہ پڑھیں گے جس طرح منتخب ہو جائے گا صارفین، سب کچھ سے
صارفین - اس سب کچھ ہے -
نام صارف کا نام ہے، لیکن جہاں صارف کا نام ہے یا 1 1 برابر.
>> تو نام نہیں ہے یا 1 1 برابر.
1 1 ہمیشہ سچ ہے برابر.
تو یہ ہمیشہ معلومات واپس آ جائیں گے صارفین کی طرف سے.
ٹھیک ہے.
ہم نے کی ضرورت نہیں ہے صحیح اسم.
ہم صرف ہم چاہتے ہیں کہ کچھ بھی ہو سکتا ہے، اور یہ معلومات واپس آ جائیں گے
ہم نے کی ضرورت ہے.
کی ایک اور مثال دیکھو.
>> ہم صارف سے سب کچھ کا انتخاب کیا ہے تو، نام ختم ٹیبل صارفین کہاں ہے -
تو آپ کو کیا لگتا ہے اس کی مرضی ایسا میں صارف کا نام میں ڈال دیا تو
ڈراپ ٹیبل صارفین کے طور پر؟
کوئی بھی ایک خیال ہے؟
جی ہاں.
>> سامعین: یہ بتانے کے لئے جا رہا ہے یہ تمام میزیں پھینک.
>> Luciano میں ARANGO: یہ ہمیں بتانے کے لئے جا رہا ہے ویب سائٹ میں سب کچھ پھینک،
ڈیٹا بیس میں سب کچھ.
اور کیا لوگوں کے لئے اس کا استعمال - تو میں تم لوگوں کو دکھانے کے لئے جا رہا ہوں.
میں ٹیبل گر غیر فعال میں نے تم سے نہیں کرنا چاہتے تھے کیونکہ
لوگ میری ٹیبل چھوڑ.
اس پر ایک نظر ڈالیں.
تو یہ صرف معلومات ھیںچتی ایک خاص شخص کے لئے.
یہ ہے تو ہم کیسے جانتے ہو SQL انجکشن کی طرف سے متاثر.
ہم یہ اصلی جلد جانچ پڑتال کرنے کے لئے جا رہے ہیں ہم کچھ ڈال کر سکتے ہیں -
مجھے اس کوڈ کو کاپی کرتے ہیں.
میں نے ایک دوسری میں اس پر جا رہا ہوں.
میں جڑ ڈال کرنے جا رہا ہوں اور 1 1 برابر.
>> یہ ٹھیک ہے یہاں، اس فیصد علامت 23 -
کیا یہ واقعی ہے، تو میں میں یہاں نظر آتے ہیں -
اگر آپ ایچ ٹی ایم ایل، تعداد میں لیتا ہے راستہ میں نے ایک جگہ میں ڈال دیا جب پر ایک نظر ڈالیں
یہاں - میں خلائی کچھ تھے یہاں، یہ ایک فیصد کی 2 کے لئے اس میں تبدیلی.
تم لوگ یہاں اس کو دیکھتے ہیں میں نے ایک جگہ میں ڈال دیا ہے؟
یہ کام کرتا ہے جس طرح کہ آپ کو صرف کر سکتے ہیں ایچ ٹی ایم ایل کے ذریعے ASCII اقدار بھیجیں.
تو یہ، مثال کے طور پر، کی جگہ لے لیتا 20 فیصد کے ساتھ ایک جگہ.
مجھے نہیں معلوم کہ اگر تم لوگ اس سے پہلے کہ دیکھا ہے.
>> یہ فیصد 23 کے ساتھ ایک hashtag کے جگہ لے لیتا ہے.
ہم کے اختتام پر یا میں ایک hashtag کے کی ضرورت ہے بیان ہم بتا سکتے ہیں، تاکہ
تبصرہ بھولنا ڈیٹا بیس آخر میں اس آخری نیم وقفہ.
ہم نے اسے اس کے بارے میں سوچ بھی نہیں کرنا چاہتے.
ہم صرف یہ سب کچھ چلانا چاہتے ہیں ہم سے پہلے ہے اور اس
کہ باہر تبصرہ.
کی اس پر ایک نظر ڈالیں.
>> میں نے کچھ غلط دیا گیا تو - کی مثال کے طور پر کہتے ہیں، میں 2 برابر ڈال
1، اس نے مجھے کچھ بھی نہیں دیتی.
میں 1 میں ڈال دیا جب 1 برابر، اور یہ کرتا ہے کچھ واپس، یہ مجھ سے کہتا ہے کہ
اس سے کمزور ہے ایک SQL انجکشن.
اب مجھے معلوم ہے کہ جو کچھ بھی میں نے اس کے بعد ڈال دیا -
اور مثال کے طور پر، میزیں ڈراپ یا اس طرح کچھ
یقینی طور پر کام کریں گے.
میں یہ SQL انجکشن کا شکار ہے میں جانتے ہیں کہ وجہ
ہڈ کے نیچے، یہ دے رہا ہے آپ کے وزٹرز کا 1 1 چیز کے برابر کرتے ہیں.
ٹھیک ہے؟
>> اور ہم ان دوسرے والے پر نظر ڈالیں تو، نمبر دو اور نمبر تین، یہ
تھوڑا سا زیادہ کرنے کے لئے جا کے نیچے کی جانچ پڑتال
یہ کیا ہے کے ہڈ.
تو کسی کمی کو چالو ابھی تک کچھ یا کرنے کی کوشش کی؟
تم لوگوں کی طرح ابھی تک SQL حاصل کرتے ہیں؟
کیونکہ مجھے پتہ ہے تم لوگ نہیں ہے ابھی تک یہ دیکھا، تو اس قسم کا ہے
تم لوگوں کے لئے بردوست.
چلو ایک نظر ڈالیں.
تو SQLI کو روکنے کے لئے طریقہ کیا ہے؟
ٹھیک ہے.
تو یہ بہت ضروری ہے آپ کی وجہ سے لوگ یقینی طور پر روکنے کے لئے چاہتے ہیں،
یہ آپ کی ویب سائٹ میں.
>> اگر نہیں تو، آپ کے تمام دوستوں کے لئے جا رہے ہیں وہ سب کو چھوڑ جب آپ کا مذاق اڑانا
آپ کی میزیں.
تو خیال ہے کہ آپ SQL کی مرمت ہے ایک خاص طریقے میں، جبکہ آپ سے ملنے
کے ساتھ صارف آدانوں ایک مخصوص سٹرنگ.
تو یہ کام کرتا ہے جس طرح تم ہے ڈیٹا بیس کی تیاری.
آپ کا نام، رنگین، اور کیلوری منتخب کریں ایک ڈیٹا بیس سے ملاقات کی پھل سے.
اور پھر کیلوری، کے مقابلے میں کم ہے جہاں اور ہم وہاں ایک سوالیہ نشان ڈال دیا
ہم ان پٹ جا رہے ہیں کہہ رہے ہیں ایک دوسرے میں کچھ.
>> اور رنگ کے برابر ہے، اور ہم نے ایک سوال کے جواب میں ڈال دیا مارک ہم جا رہے ہیں کہہ رہے ہیں
ان پٹ ایک دوسرے میں کچھ کے طور پر اچھی طرح سے.
ٹھیک ہے؟
اور پھر ہم ڈال، اسے پھانسی 150 اور سرخ رنگ میں.
اور اس کے بنانے کے لئے جانچ پڑتال کرے گا اس بات کا یقین ان دونوں ہے -
اس صف کو چیک کریں گے کہ ان دو ایک عدد صحیح ہیں اور
یہ ایک تار ہے.
پھر ہم نے جانا، اور ہم بازیافت تمام، ہم سرخ رنگ میں ڈال دیا.
کہ ہم سب لانے کا مطلب ہے.
یہ ہم اصل میں SQL پھانسی کا مطلب بیان اور سرخ رنگ میں اسے واپس ڈال دیا.
یہاں ہم بھی ایسا ہی کریں، لیکن ہم پیلے رنگ کے لئے بھی ایسا ہی.
اور ہم سب کی بازیافت.
>> اور اس طرح میں، ہم صارف کی روک تھام ان پٹ کچھ کرنے کے قابل ہونے کی وجہ سے
کہ ہم مخصوص کیا، ایک تار نہیں ہے یا ایک عدد صحیح، مثال کے طور پر.
کے بارے میں پہلے بات کر رہا تھا دوسروں پر انحصار.
تم لوگوں کو اپنے منصوبے شروع، تم ہو سب سے زیادہ یقینی استعمال کرنے کے لئے جا
بوٹسٹریپ یا اسی طرح کے کچھ.
تم لوگ کبھی ورڈپریس استعمال کیا ہے؟
شاید تم لوگوں کو استعمال کیا جاتا ہے ورڈپریس سب سے زیادہ امکان.
تو استعمال کرتے ہوئے کے ساتھ مسئلہ دوسرے لوگوں کی چیزیں -
میں نے صرف گوگل ریئل فوری جا رہا ہوں ورڈپریس خطرے کا سامنا.
>> میں ابھی اس ھیںچو ہیں -
میں لفظی ایک دو دوسری گوگل کیا.
ہم اس ورڈپریس دیکھ سکتے ہیں -
اس ستمبر '12 کے طور پر کی تاریخ ہے.
26 اپ ڈیٹ کیا ہے.
ورڈپریس کی ڈیفالٹ ترتیب 3.6 ان کو روکنے کے لئے نہیں ہے اس سے پہلے کہ
بعض اپ، جس میں طاقت یہ آسان کے لئے بنا
کراس سائٹ سکرپٹ حملوں.
تو ایک فوری کہانی، ایک بار ہم کام کر رہے تھے کے ساتھ - تو میں ایک کام کر رہے ہیں، موسم گرما میں، تھا،
انٹرنشپ.
اور ہم قسم کی کے ساتھ کام کر رہے تھے ایک بڑا کریڈٹ کارڈ کمپنی کی طرح.
>> اور وہ کہا جاتا ہے کچھ پر انحصار کرتے ہیں -
تم لوگ کبھی بھی کردار ادا کرے تو مجھے پتہ نہیں جملہ نامی ایک مصنوعات کے ساتھ.
جملہ کے لئے استعمال کیا جاتا ہے کہ ایک مصنوعات کی ہے کنٹرول - کی طرح اسی طرح کرنے کے لئے
ویب سائٹ کی تعمیر کے لئے استعمال کیا ورڈپریس،.
تو وہ ان کی ویب سائٹ تھی جملہ پر کام کر رہے.
یہ اصل میں ایک کریڈٹ کارڈ ہے کولمبیا میں کمپنی.
میں آپ کو لے جائیں گے ان ویب سائٹ اصلی فوری.
>> تو وہ جملہ استعمال کیا.
اور وہ جملہ کو اپ ڈیٹ نہیں کیا تھا تازہ ترین کے علاوہ کرنے کے لئے.
اور اس طرح ہم پر ایک نظر لے جا رہے تھے جب ان کے کوڈ، ہم اصل میں کرنے کے قابل تھے
ان کے کوڈ کے اندر جاؤ اور چوری تمام وہ تھا کہ کریڈٹ کارڈ کی معلومات،
تمام کریڈٹ کارڈ نمبر، نام، پتے.
اور یہ صرف تھا -
اور ان کے کوڈ بالکل ٹھیک تھا.
وہ عظیم کوڈ تھا.
یہ سب سیکورٹی تھی.
وہ تمام ڈیٹا بیس کی جانچ پڑتال.
وہ کراس سائٹ بات کو یقینی بنایا سکرپٹ ٹھیک تھا.
>> لیکن وہ نہیں تھا کہ کچھ استعمال کیا جاتا ہے اپ ڈیٹ، کہ محفوظ نہیں تھا.
اور اس کے لئے ان کی قیادت ہے - تو تم لوگ یقینی طور پر دوسرے استعمال کرنے کے لئے جا رہے ہیں
لوگوں کے کوڈ، دوسرے لوگوں کے فریم ورک آپ کی ویب سائٹ کی تعمیر.
وہ محفوظ رہے ہیں اس بات کو یقینی بنائیں کیونکہ کبھی کبھی یہ، کہ ایک آپ نہیں ہے
ایک غلطی کرتا ہے.
لیکن کسی ایک غلطی کرتا ہے، اور پھر آپ کو اس کی وجہ سے گر.
>> پاس ورڈ اور PII.
تاکہ پاس ورڈ.
ٹھیک ہے.
کے پاس ورڈ میں ایک نظر ڈالیں اصلی فوری.
ٹھیک ہے.
براہ مہربانی مجھے بتاو کہ سب محفوظ استعمال کرتا ہے -
میں یہاں سب امید کر رہا ہوں محفوظ پاس ورڈ کا استعمال کرتا ہے.
میں صرف دے رہا ہوں ایک مفروضہ کے طور پر.
تو تم لوگ ضرور جا رہے ہیں آپ کی ویب سائٹ کے لئے پاس ورڈ کو محفوظ.
آپ کی طرح کچھ کرنے کے لئے جا رہے ہیں اس طرح ایک لاگ ان یا کچھ اور.
کیا ضروری ہے کی دکان نہیں ہے سادہ متن میں پاس ورڈ.
یہ بہت اہم ہے.
آپ کی دکان نہیں کرنا چاہتے ہیں ایک سادہ متن میں پاس.
>> اور آپ کو یقینی واقعی نہیں کرنا چاہتے ایک راستہ ہیش میں اسے ذخیرہ کرنے کے لئے.
تو کیا ایک راستہ ہیش یہ ہے کہ جب آپ آپ اس ڈال دیا جب، ایک لفظ پیدا
ایک ہیش تقریب میں لفظ، یہ خفیہ کے کسی قسم کے واپس پیدا
پیغام یا چابیاں کی خفیہ سیٹ.
میں آپ کو ایک مثال کے طور پر دکھائیں گے.
میں وہ لفظ password1 ہیش کرنے جا رہا ہوں.
تو MD5 ہیش مجھے واپس جا رہا ہے عجیب معلومات کسی قسم کا.
>> مسئلہ یہ ہے کہ لوگوں کو وہاں سے باہر ہے ویب سائٹ ہے کہ میں جانا پسند ہے
پہلے ہی طرح سوچا تمام MD5 hashes کی.
وہ پر بیٹھ جاتا ہے کیا ان کے کمپیوٹر، اور وہ ہر hashed
وہاں ایک ممکن لفظ تک وہ ایک طرح سے یہ کیا ہو گیا.
میں نے اس کو تلاش کرنے کے لئے تھے -
میں صرف اس ہیش پکڑا.
میں سے اس ہیش ملتا ہے -
میں نے ایک ویب سائٹ میں جاؤ، اور میں تو اس ہیش میں حاصل کرنے کے لئے کی وجہ سے
ڈیٹا بیس، اور میں نے اسے نظر، کسی پہلے سے ہی میرے لئے سوچا.
>> جی ہاں.
تو لوگ بیٹھ گئے، اور جو کچھ بھی MD5 آپ میں ڈال دیا کہ ہیش، وہ کرنے جا رہے ہیں
آپ کو واپس میں کچھ کہ ایک لفظ ہے.
میں کی طرح، ایک اور لفظ ہیش ہے -
مجھے پتہ نہیں ہے -
trees2.
میں مایوس نہیں کرنا چاہتا اپنے گوگل کے تلاش کی طرف سے.
وہاں، trees2 ہے.
تو ویب سائٹس میں سے ایک بہت اب بھی MD5 ہیش کا استعمال کرتے ہیں.
وہ اوہ، یہ محفوظ ہے، کا کہنا ہے کہ.
ہم سادہ متن میں ذخیرہ کرنے نہیں کر رہے ہیں.
ہم اس MD5 ہیش ہے.
اور مجھے کیا کرنا ہے صرف ہے نمبر Google.
>> میں خود کو بھی گنتی کی ضرورت نہیں ہے.
میں صرف یہ گوگل، کر سکتے ہیں اور کسی مجھے پہلے ہی لئے کیا.
یہاں ان میں سے ایک گروپ ہے.
یہاں پاس ورڈ کا ایک گروپ ہے.
تو یقینی طور MD5 ہیش کا استعمال نہیں کرتے، کیونکہ آپ کو کرنا ہے
گوگل ہے.
تو کیا آپ اس کے بجائے استعمال کرنے کے لئے چاہتے ہیں؟
ٹھیک ہے.
نمکین بنانا کہا جاتا ہے کچھ.
تو کیا نمکین بنانا ہے -
ہم تھے جب تم لوگوں کو یاد ہے میں بے ترتیب کے بارے میں بات -
میں نے یہ کیا تھا pset کے اس بات کا یقین نہیں ہوں -
یہ وہاں pset یا چار تھا؟
>> ہم تلاش کرنے کے بارے میں بات کر رہے تھے ٹیبل میں انجکشن.
اور pset میں، اس نے کہا ہے کہ تم اصل میں کیا بے ترتیب اعداد و شمار
کسی نے پہلے سے ہی بھاگ گیا ہے کیونکہ پیدا بے ترتیب ایک ملین بار اور صرف
کی طرح وہ پیدا کیا قائم.
آپ کیا چاہتے ہیں ایک ان پٹ میں ڈال دیا.
تو اس طرح کی ہے جو نمکین بنانا ہے.
انہوں نے پہلے ہی نمکین بنانا کیا سوچا ہر کام کے لئے واپس.
>> تو کیا نمکین بنانا کرتا ہے آپ کو ایک نمک میں ڈال دیا.
آپ کو ایک مخصوص لفظ میں ڈال دیا.
اور اس لحاظ سے اس لفظ ہیش گا آپ یہاں میں ڈال دیا کیا.
تو میں اس کے ساتھ پاس ایک ہیش تو سزا، یہ ہیش جا رہا ہے
میں password1 ہیش مختلف تو ایک مختلف سزا کے ساتھ.
اس طرح کی کہیں دیتا ہے شروع کرنے کے لئے hashing کے لئے شروع.
تو یہ آپ کی گنتی کرنے کے لئے بہت مشکل ہے، لیکن اب بھی خاص طور پر، یہ گنتی کر سکتے ہیں
آپ کو ایک بری نمک استعمال کرتے ہیں تو.
>> لوگ پہلے سے ہی یہ بھی سوچا ہے عام نمک اور سوچا
کہ یہ ہے کیا.
رینڈم نمک بہت بہتر ہیں، لیکن سب سے بہترین طریقہ کا استعمال کرنا ہے
کے Crypt ملاقات کی کچھ.
اور کیا کے Crypt آپ کرنے کی اجازت دیتا تو ان کے افعال ہیں - ہے
پہلے سے ہی آپ کے لئے بنایا ہے.
بہت سے لوگ بھول جاتے ہیں کہ، یا وہ اسے استعمال کرنے کے لئے بھول جاتے ہیں.
لیکن میں کے Crypt پی ایچ پی، کے Crypt دیکھو پہلے سے ہی میرے لئے ایک ہیش سٹرنگ واپس.
اور یہ اصل میں یہ کئی بار نمک اور یہ کئی بار hashes.
>> تو ہم ایسا کرنے کی ضرورت نہیں ہے.
تو تمہیں کیا کرنا ہے ہے کے Crypt میں بھیج.
اور اس کے بغیر ایک عظیم ہیش پیدا کرے گا آپ کو نمک کے بارے میں فکر کرنے کی
یا کچھ بھی.
آپ نمک تھے، تو آپ کو کیونکہ آپ کیا استعمال کیا جاتا نمک یاد کرنے کے لئے
کیونکہ اگر نہیں تو، آپ کو حاصل نہیں کر سکتے ہیں آپ واپس بغیر پاس
آپ کو استعمال کیا ہے کہ نمک.
ٹھیک ہے.
>> اور بھی ذاتی طور پر قابل شناخت کے بارے میں معلومات.
تو سوشل سیکورٹی، کریڈٹ کارڈ - یہ بہت واضح ہے.
لیکن کبھی کبھی لوگوں کا راستہ بھول یہ کام تم کرتے ہو کس طرح زیادہ سے زیادہ معلومات، ہے
اصل میں کچھ ایک شخص کو تلاش کرنے کی ضرورت ہے؟
کسی کے بارے میں ایک مطالعہ کیا یہ ایک طرح سے واپس.
اور یہ آپ ہیں تو، کی طرح تھا ایک مکمل نام، آپ کو تلاش نہیں کر سکتے ہیں
وہ آسانی سے کسی کو.
لیکن آپ کو ایک مکمل نام کیا ہے اور پیدائش کے ان کی تاریخ؟
کی شناخت کرنے کے لئے کافی ہے خاص طور پر کسی کو؟
>> کیا آپ کو ان کے نام اور ہے تو وہ رہتے ہیں کہ سڑک کا پتہ؟
کہ کسی کو تلاش کرنے کے لئے کافی ہے؟
وہ سوال اور جب یہ ہے کہ کیا، ہے ذاتی قابل شناخت معلومات، اور
آپ کے بارے میں کیا فکر کرنا چاہئے دور دے نہیں؟
آپ کو ذاتی طور پر قابل شناخت دے تو اگر کوئی آپ کو فراہم کرتا ہے کے بارے میں معلومات،
آپ ممکنہ طور پر مقدمہ ہو سکتا ہے.
اور ہم یقینی طور پر یہ نہیں چاہتی.
>> تو آپ کو آپ کی ویب سائٹ میں ڈال رہے ہیں جب باہر، اور آپ کو ایک بہت ٹھنڈا ہے
ڈیزائن، امید ہے کہ تم نے ایک خوفناک حتمی منصوبے.
آپ کی طرح چاہتے ہیں کسی بھی وہاں اسے باہر ڈال.
آپ اس بات کو یقینی بنانا چاہتے ہیں جو کچھ بھی یہ تو آپ کو، صارف کی طرف سے لے جا رہے ہیں
ذاتی قابل شناخت معلومات، آپ یقین ہے کہ آپ واقعی میں ہونے کی وجہ سے کر رہے ہیں بنانا چاہتے ہیں
اس کے ساتھ ہوشیار رہنا.
>> شیل انجکشن.
ٹھیک ہے.
شیل انجکشن پر گھسپیٹھیی کی اجازت دیتا ہے آپ کا اصل کمانڈ لائن تک رسائی حاصل
آپ کے سرور میں.
اور اس طرح وہ کوڈ کو چلانے کے لئے کے قابل ہے آپ کو کنٹرول نہیں کر سکتے ہیں.
اس کی ایک مثال لے یہاں خوبصورت سٹرنگ.
ہم پھر ویب سائٹ میں جاتے ہیں، میں ہوں کوڈ انجکشن میں جانے کے لئے جا رہا.
تو اس کا کیا ہے ہے -
ہم کیا تھے بھی ہے اس سے پہلے کہ میں دیکھ.
ہم جو کچھ بھی میں ڈال صارف دے رہے ہیں وہ چاہتا ہے، اور اسے باہر پرنٹ
جو تم چاہتے ہو.
>> تو میں نے ایک کال ڈال کرنے جا رہا ہوں.
کیا اس سے فرق پڑتا ہے ہے -
یہ concatenating کی طرف سے شروع ہو جائے گا.
تو یہ میرے چلانے دیں گے جو بھی شخص کے چلانے کا حکم
سے پہلے اور میرے حکم.
اور میں نے ایک نظام کمانڈ چلا رہا ہوں.
اور یہ آخری ڈور ہیں - یاد کیا میں کے بارے میں تم لوگوں سے بات کی،
آپ کو ضابطہ کاری کرنے کے لئے ہے، جبکہ یہ ایک یو آر ایل کے طریقہ کار میں.
اب میں اس چلاتے ہیں -
میں یہاں تم پر ظاہر کریں گے -
آپ میں ختم ہوا دیکھیں گے کہ ایک کمانڈ چلا.
>> یہ اصل میں اصل سرور ہے اپنی ویب سائٹ پر چل رہا ہے.
تو ہم نہیں چاہتے کہ، میں چلا سکتے ہیں کی وجہ سے -
اس سرور میرا نہیں ہے.
تو میں نے پنگا نہیں کرنا چاہتے ان بہن، مارکس سرور.
لیکن آپ کو حکم چلا سکتے ہیں خطرناک ہیں.
اور ممکنہ طور پر، آپ کو خارج کر سکتے ہیں فائلوں، ڈائریکٹریز کو خارج کر دیں.
میں ایک مخصوص ڈائریکٹری تو ختم کر سکتے ہیں میں چاہتا تھا، لیکن میں نہیں چاہتا
مارکس کے لئے ایسا کرنے کے لئے.
وہ ایک اچھا آدمی ہے.
اس نے مجھے ان کے سرور قرضے ہیں.
تو میں نے اسے کرنے کے لئے جا رہا ہوں اچھا پر.
>> تو جو ہم استعمال کرنا چاہتے ہیں نہیں ہے - ہم نہیں کرتے eval یا سسٹم استعمال کرنا چاہتے ہیں.
Eval یا نظام کے لئے ہمیں اجازت دیتا ہے ان کے نظام کالیں.
Eval کا مطلب ہے اندازہ.
سسٹم میں بھاگ گیا، کیا مطلب ہے.
یہ نظام میں کچھ چلانے ہے.
لیکن ہم میں ان چیزوں کو غیر قانونی قرار دے سکتے ہیں پی ایچ پی کی ہم ان کو استعمال نہیں کرتے تاکہ.
اور فائل اپ لوڈ کریں.
میں نے ایک بہت اچھا کیا جا رہا تھا فائل اپ لوڈ کے ساتھ بات.
لیکن جیسا کہ میں نے، میری فائل تم لوگوں کو بتایا کہ اپ لوڈ کریں چیز کام نہیں کر رہا.
میں ابھی ایک فائل اپ لوڈ کرنے کے لئے تھے -
میں نے ایک فائل اپ لوڈ کرنے کے لئے تھے، تو اور یہ ایک تصویر ہے -
اگر آپ کو ایک اپ لوڈ بات ہے یہ ایک تصویر ہے.
یہ ٹھیک ہے.
کچھ نہیں ہوتا.
>> لیکن آپ کو ایک فائل اپ لوڈ کریں، کے لئے ہے تو مثال کے طور پر، اور صارف کو اصل میں اپ لوڈ
ایک پی ایچ پی فائل یا ایک exe فائل یا کچھ اور اس طرح، تو آپ کو ممکنہ طور پر کر سکتے ہیں
ایک مسئلہ ہے.
اس سے پہلے کام کر رہا تھا.
بدقسمتی سے میرے لئے، یہ ہے اب کام نہیں.
میں، مثال کے طور پر، اس فائل اپ لوڈ کرتے ہیں، میں ہوں اپ لوڈ کرنے کی اجازت نہیں مل رہی
سرور کی وجہ سے فائل میرا نہیں.
تو آدمی واقعی ہوشیار ہے.
>> تو ہم نہیں چاہتے ہیں -
میں تم لوگوں کو دکھانے کے لئے جا رہا ہوں -
ٹھیک ہے، یہ کچھ واقعی ڈاؤن لوڈ، اتارنا اوزار ہیں.
تو ان -
میں جانے - تم لوگ فائر فاکس ہے - امید ہے کہ آپ ایسا کرتے ہیں.
ایس کیو ایل انجیکشن نامی دو شامل کریں ons ہے مجھے اور کراس ویب سائٹ کا سکرپٹ مجھے.
وہ کے طور پر چھوٹی سی کی طرف کھول کی طرف سلاخوں کے.
اور میں جانے کے لئے تھے مثال کے طور پر CS60 -
تو کیا اس سے فرق پڑتا ہے کہ یہ لگتا ہے تمام شکلوں اس کے لئے -
امید ہے کہ، میں نہیں ملے گا اس کے لئے مصیبت میں.
>> لیکن ٹھیک ہے.
یہاں پن نظام ہے.
تو میں میں سوراخ کے لئے تلاش شروع نظام، مجھے کیا کرنا ہے سب سے پہلی چیز ہے
اس خوبصورت تھوڑا کھول کی طرف سے کے آلے.
اور میں فارم کی جانچ کرنے کے لئے جا رہا ہوں آٹو حملوں کے ساتھ.
اور اس طرح اس کا کیا ہے یہ آہستہ آہستہ گا براؤزر کے ایک گروپ کو کھولنے.
یہاں براؤزر کے ایک گروپ ہے.
اور یہ ہر ایک مجموعہ کوشش کر رہا ہے کراس سائٹ سکرپٹ کے
وہاں ممکنہ طور پر ہے، کہ اگر آپ کی طرف دیکھتے ہیں.
>> اور یہ میرے لئے ایک نتیجہ دے گا جواب کیا ہے کی طرح.
تمام کو منتقل.
ظاہر ہے، وہ سب کے سب گزر.
میرا مطلب ہے، وہ واقعی ہوشیار ہو وہاں لوگوں.
لیکن میں تھے تو چلانے کے لئے -
میں نے اس کو چلانے سے پہلے جب بار پڑا ہے طالب علموں کے آخری منصوبوں پر.
میں صرف کے ساتھ انجکشن SQL چلاتے تمام مختلف حملوں.
اور یہ ایس کیو ایل انجیکشن کوشش کر رہا ہے یہ پن سرور.
ہم ذیل میں سکرال، کے لئے تو مثال کے طور پر، اس کا کہنا ہے -
یہ واپسی تو یہ اچھا ہے.
>> تو یہ کچھ مخصوص اقدار کا تجربہ کیا.
اور سرور ایک واپس کوڈ ہے کہ منفی تھا.
عارضی طور پر ہٹا دیں.
یہ اچھا ہے.
یہ سب ان تجربوں کی کوشش کرتا ہے.
تو آپ کو صرف چلانے کے کر سکتے ہیں -
میں نے ایک ویب سائٹ اصلی تلاش کر سکتے ہیں کرنا چاہتے ہیں فوری کہ مجھے کرے گا -
شاید CS50 دکان.
>> واہ، یہ جا رہا ہے راستہ بہت طویل لے.
میں دونگا پہلے ٹیسٹ حق ختم نہیں.
تو یہ شکایت ہے.
لھذا یہ تین چیزیں ہیں.
یہ اوزار مفت ہیں.
آپ ان کو ڈاؤن لوڈ اور ان پر چلا سکتے ہیں آپ کی ویب سائٹ، اور یہ آپ کو بتائے گا اگر
آپ کو کراس سائٹ سکرپٹ ہے، آپ کو ہے تو آپ، ایس کیو ایل ہے تو
کی طرح کے کچھ.
میں طرح الجھ رہا ہوں.
>> کیا ضروری ہے -
ٹھیک ہے، تو صارف کے اعتماد کو کبھی نہیں.
آپ کو جو بھی صارف آدانوں، بنانے کے اس بات کا یقین آپ کو یہ جراثیم کشی، تم نے اسے صاف،
تم صحیح چیزوں کے لئے کی جانچ پڑتال، کیا آپ کو دے رہی ہے کہ
اس سے آپ دینا چاہتے ہیں.
ہمیشہ اپ ڈیٹ کیا کیا فریم ورک آپ اصل میں استعمال کر رہے ہیں کہ.
- آپ بوٹسٹریپ کی طرح کچھ کا استعمال کرتے ہیں
میں تم لوگوں کو استعمال کرنے کے لئے جا رہے ہیں جانتے ہیں وہ جا رہا ہے کیونکہ بوٹسٹریپ
پر جلد ہی اس کی کلاس میں -
اور ورڈپریس یا اس طرح کچھ، عام طور پر اس کو ہیک کیا جا سکتا ہے.
>> اور پھر آپ بھی نہیں جانتے.
آپ کو صرف آپ کی ویب سائٹ چلا رہے ہیں.
اور یہ مکمل طور پر محفوظ ہے.
اور تم نیچے جاؤ.
تو میں واقعی ابتدائی ماہی گیری کر رہا ہوں.
لیکن میں Pentest لیبز کا شکریہ ادا کرنا چاہتے ہیں.
میں تم لوگوں کو کچھ دکھانے کے لئے جا رہا ہوں Pentest لیبز کہا جاتا ہے.
تم لوگوں کو میں واقعی دلچسپی رکھتے ہیں سچ ہے، ایک ہے کیا سیکورٹی
Pentest لیبز تو کہا جاتا ہے کی ویب سائٹ تم لوگ ابھی اس کے پاس جاؤ.
اوہ، ٹھیک ہے، ایسا نہیں ہے.
میں صرف اس طرح اس کو چلانے کے لئے جا رہا ہوں.
گوگل مجھے جواب بتاتا ہے.
>> ٹھیک ہے.
اور یہ آپ استعمال کرتے ہیں سکھاتا ہے - تو یہ کا کہنا ہے کہ، ویب رسائی جاننے کے
صحیح طریقے سے جانچ کی.
یہ آپ کو سکھاتا ہے -
امید ہے، آپ کو ایک اخلاقی شخص ہو.
لیکن یہ آپ دیکھ سکتے ہیں کہ کس طرح آپ کو سکھاتا آپ کی ویب سائٹ کے اندر حاصل کر سکتے ہیں کس طرح.
اور آپ کو جاننے کے ہیں تو آپ کے اندر حاصل کر سکتے ہیں کس طرح ویب سائٹ، آپ سیکھ سکتے ہیں کہ کس طرح کرنے کے لئے
حاصل کرنے سے اپنے آپ کی حفاظت اندر کی ویب سائٹ.
مجھے میں زوم ہو سکتا ہے آپ لوگوں کی وجہ سے اس حق کو دیکھ کر نہیں کر رہے ہیں.
>> SQL انجکشن سے، شیل کی طرح میں SQL سے حاصل کر سکتے ہیں کس طرح
شیل انجکشن.
اور تم اس ورچوئل مشین ڈاؤن لوڈ، اتارنا.
اور مجازی مشین پہلے سے ہی آتا ہے تم اس ویب سائٹ کے ساتھ
اس پر کوشش کی جا رہی.
آپ اس پی ڈی ایف ڈاؤن لوڈ، اتارنا.
اور اس لائن کی طرف سے آپ کو لائن دکھائے گا کیا آپ چیک کیا، کیا کرنا ہے.
یہ کیا ایک حملہ آور اصل میں ہے ایک ویب سائٹ کے اندر حاصل کرنے کے لئے کرتا ہے.
>> اور اس چیز میں سے کچھ پیچیدہ ہے.
میں زیادہ سے زیادہ جا سکتے ہیں چاہتے ہیں لوگ آپ کے ساتھ چیزیں.
لیکن میں فکر ہے کہ تم لوگ واقعی نہیں ہے -
میں اس کے ساتھ گئے کیا ہے تم لوگ، ویب ٹیسٹ
رسائی ٹیسٹنگ کے لئے.
سچ میں پتہ نہیں کیا ایس کیو ایل ہے اور کیا -
کارل جیکسن کی سیمینار اس کے ساتھ ساتھ بہت اچھا ہے.
تم لوگوں کو ترتیب نہیں جانتے یہ کیا ہے.
لیکن اگر آپ اس ویب سائٹ پر جائیں، اور ان سبق اور ان ڈاؤن لوڈ، اتارنا
پی ڈی ایفز، آپ کی طرح پر ایک نظر لے جا سکتے ہیں سیکورٹی کے علاقے واقعی کیا کرتا ہے
رسائی ٹیسٹنگ میں، دیکھ کس طرح آپ کر سکتے ہیں کے اندر ویب سائٹ حاصل کرنے اور حفاظت کے
اپنے آپ کو اس سے.
>> تو میں نے ایک سپر فوری جائزہ اگر، یہ کراس سائٹ سکرپٹ کی روک تھام کی جائے گی.
آپ htmlspecialchars ہر استعمال کرنا چاہتے ہیں صارف آدانوں کچھ وقت.
SQL انجکشن کی روک تھام.
آپ یہ کرتے ہیں، آپ پہلے سے ہی کر رہے ہیں ہارورڈ تھا سے بہتر
وہ خلاف ورزی ملا.
اور آپ کے پاس ورڈ کو یقینی بنانے کے سادہ متن میں نہیں ہیں.
یقین ہے کہ آپ ایسا ایک راستہ ہیش نہ صرف بنائیں ان کے لیکن آپ کے Crypt استعمال کرتے ہیں، پی ایچ پی
میں تم لوگوں سے ظاہر ہوتا ہے کہ تقریب.
اس طرح، آپ کو اچھا ہونا چاہئے.
>> آپ کے دوست ہیں تو اس کے علاوہ، آپ کو، چلانے ان کی ویب سائٹ پر مجھے انجیکشن SQL.
چلائیں کراس سائٹ سکرپٹ ان کی ویب سائٹ پر.
اور اگر آپ ان ویب سائٹس کی ایک بہت کچھ دیکھیں گے خطرات کی ایک ٹن ہے.
یہ بہت سے لوگوں کو بھول کس طرح ناقابل اعتماد ہے ان کے ڈیٹا بیس جراثیم کشی کرنے یا بنانے کے لئے
اس بات کا یقین کیا شخص کی inputting کی سکرپٹ کوڈ کو نہیں ہے.
ٹھیک ہے.
میں قسم کی واقعی جلد ختم ہو.
لیکن کسی کے بارے میں کوئی سوال ہے تو کچھ بھی، آپ مجھے ایک سوال گولی مار کر سکتے.
جی ہاں.
جاؤ، جاؤ.
>> سامعین میں صرف پوچھنا چاہتا ہوں، آپ کی فائل کی وضاحت کس طرح کر سکتے ہیں
بالکل کام اپ لوڈ.
>> Luciano میں ARANGO: جی ہاں.
تو مجھے آپ کی فائل کو ظاہر کرتے ہیں اصلی فوری اپ لوڈ.
تو فائل اپ لوڈ کریں -
مسئلہ فائل اپ لوڈ کریں عقل اب یہ ہے کہ -
میں تو تم لوگ کوڈ کو کھولنے کے لئے جا رہا ہوں پردے کے پیچھے کا کوڈ دیکھ.
اور یہ اپ لوڈ ہے.
یہاں فائل اپ لوڈر کے لئے ایک کوڈ ہے.
>> ہم اس میں جانے کے لئے کوشش کر رہے ہیں یہاں ڈائرکٹری.
اور ہم، کوشش کر رہے ہیں ہم ان پٹ ایک بار فائل، isset فائل - تو جب ہے
تو، فائلیں، کہ تصویر میں دائر ہم اسے یہاں منتقل کرنے کی کوشش.
ہم یہاں پر فائل پر قبضہ.
طریقہ پوسٹ، قسم، تصویر، فائل ہے.
اور ہم نے اس فائل کو بھیج رہے ہیں.
اور پھر ہم اسے حاصل کرنے کے ایک بار، تو ایک بار فائل ایک تصویر ہے، ہم اس کے بھیجنے کے لئے کوشش کر رہے ہیں
اس ڈائریکٹری میں.
>> مسئلہ کی ویب سائٹ نہیں ہے ، مجھے اس ڈائریکٹری میں جانے دے
اس نے مجھے واپس جانے کے لئے نہیں کرنا چاہتی کیونکہ.
یہ میرے نہیں جانا چاہتا ہے -
مجھے جانا ہے - تو یہاں اپ لوڈ ہے.
یہاں تصاویر ہے.
میں تمام طرح واپس جانا ہوگا پھر شروع اور وہاں میں ڈال دیا اور
جاؤ اور ڈائریکٹری میں ڈال.
میں نے ایک ٹرمنل ونڈو چل رہا تھا اگر ایسا ہے تو، اور میں نے ایک فائل کو منتقل کرنے کے لئے چاہتا تھا -
[اشراوی]
اسے دیکھ سکتے ہیں.
میں نے ایک فائل کو منتقل کرنے کے لئے چاہتا تھا، تو میں ہے پھر فائل کا نام ڈال دیا ہے اور
مکمل راستے میں بھیجنے کے لئے چاہتے ہیں.
>> اور پھر سرور نہیں ہے مجھے واپس جانے.
اور اس طرح یہ دے نہیں ہے مجھے اس کی فائل حاصل کرنے کے لئے.
لیکن عام طور پر -
اس کے لئے ایک کوڈ ہے ایک فائل اپ لوڈ.
تو عام طور پر کیا ہو گا ہے شخص کی جانچ پڑتال نہیں ہے تو میری فائل
. JPEG کے ساتھ ختم ہو جاتی ہے، تو میں جانچ کرنا چاہتے ہیں کریں گے.
مجھے بھی اصلی فوری ایک مثال کھول دو.
>> ٹھیک ہے.
اس شخص کا حق -
تو مثال کے طور پر دو کی جانچ پڑتال کی ہے preg_match ہیں -
یہاں یہ یہاں ہے -
اس بات کا یقین ہے کہ کے ساتھ ختم کرنے کے لئے اچھا ہے جو پی ایچ پی،.
یہ اچھا ہے.
لیکن ایک حقیقی بڑا ہے اس کے ساتھ مسئلہ.
یہ اچھا ہے.
لیکن میں نامی ایک فائل دیا گیا myfavoritepicture.php.jpeg، میں کر سکتا ہوں
اب بھی ممکنہ طور پر JPEG سے چھٹکارا حاصل اور یہی وجہ ہے کہ پی ایچ پی کی خطرناک it.k چلانے.
آپ اس شخص کے قابل ہو جائے نہیں کرنا چاہتے آپ کی ویب سائٹ پر کوڈ کو چلانے کے لئے.
>> لیکن اس وقت. JPEG منتقل کی اجازت دیتا ہے.
خیال ہے کہ آپ واقعی کرنا چاہتے ہیں فائلوں، A. لیکن، ٹھیک ہے، لے نہیں ہے
اگر آپ واقعی کرنا چاہتے ہیں اس بات کو یقینی بنانے کے لئے ہے آپ کو پوری دنیا میں پڑھا.
اور کچھ بھی نہیں ہے. یہ پی ایچ پی.
میں کوئی. پی ایچ پی کی ہے پوری فائل کے نام.
>> سامعین: لیکن آپ کر سکتے ڈال دیا. JPEG اختتام پر.
سرورز اب بھی کوڈ کو چلانے کے.
>> Luciano میں ARANGO: نہیں، یہ نہیں کریں گے آغاز میں چلانے کے.
تم واپس جاؤ اور کوشش کی ہے آپ کر سکتے ہیں دیکھنے کے لئے -
>> سامعین: تو ہم ہے -
ٹھیک ہے، شامل ہے کہ صرف ایک سیٹ -
>> Luciano میں ARANGO: جی ہاں.
>> سامعین: ٹھیک ہے.
>> Luciano میں ARANGO: جی ہاں.
ٹھیک ہے.
کوئی سوال؟
ٹھیک ہے.
میں نے اس کو چھوڑ دیں اور حل کرنے جا رہا ہوں کی تم لوگ کر سکتے ہیں دیکھنے کے لئے کوشش کریں -
دوسرے والے کو تھوڑا سا زیادہ ہیں وہ بہت کی ضرورت ہوتی ہے پیچیدہ ہے کیونکہ
سے SQL کا علم صرف ویب SQL کا آغاز علم ہے اور
کیا جاوا اسکرپٹ ہے.
لیکن میں اس کو رکھنے کے لئے کوشش کرنے کے لئے جا رہا ہوں اور امید ہے کہ آپ لوگ سیکھ جائے گی
اس کے بارے میں اور ایک جھانکنا لے جانے کی کوشش کیا آپ کر سکتے ہیں اور کس طرح بہت سی مثالیں
آپ کے ذریعے حاصل کر سکتے ہیں.
>> کوئی بھی کسی دوسرے کی ہے اس کے بارے میں سوال؟
آگے بڑھو.
جی ہاں، گولی مار، گولی مار.
جی ہاں، آگے بڑھو.
آگے بڑھو.
>> سامعین: ٹھیک ہے.
تو میں نے کے بارے میں سنا کس طرح جادو نامہ کافی محفوظ نہیں رہے ہیں.
>> Luciano میں ARANGO: کیا -
جادو ہیں؟
>> سامعین: جی ہاں.
تو یہ کہتے ہیں - تو جب بھی آپ ان پٹ کچھ، یہ ہمیشہ کی قیمت درج کرنے کا اضافہ کر دیتی.
>> Luciano میں ARANGO: جی ہاں.
جی ہاں.
ٹھیک ہے.
>> سامعین: اور پھر میں اگرچہ، کام کیا ہے کہ لیکن پھر میں نے اس کو تلاش کیا.
اور یہ اچھا نہیں ہے انہوں نے کہا کہ.
لیکن میں کیوں یقین نہیں ہوں.
>> Luciano میں ARANGO: جی ہاں.
>> سامعین:، جادو نامہ کا استعمال نہ کریں یہ محفوظ نہیں ہے.
>> Luciano میں ARANGO: ٹھیک ہے.
آپ SQL ڈالیں تو جادو نامہ ہے اور یہ پہلے سے ہی آپ کے لئے حوالہ اضافہ کر دیتی ہے.
>> سامعین: اس کی ہمیشہ کی قیمت درج کرنے کا اضافہ کر دیتی تم اندر ڈال دیا ہے جو کچھ بھی کے ارد گرد
>> Luciano میں ARANGO: جی ہاں.
تو اس کے ساتھ مسئلہ یہ ہے کہ -
میں پر ایک نظر ڈالیں گے -
>> سامعین: یہ کس طرح حاصل کرتا ہے SQL بیان؟
یا میں ہو سکتا ہے، جیسے اقتباس منتخب کریں.
>> Luciano میں ARANGO: جی ہاں، آپ کی ضرورت ہے ایس کیو ایل کے لئے اچھی قیمت درج کرنے.
>> سامعین: نہیں، لیکن سرور یہ آپ کے لئے کرتا ہے.
>> Luciano میں ARANGO: یہ چھوٹی سی کی قیمت درج کرنے یہاں، ان چھوٹی ہیں؟
>> سامعین: جی ہاں.
>> Luciano میں ARANGO: جی ہاں.
مسئلہ یہ ہے کہ آپ کر سکتے ہیں آخری تبصرہ -
ٹھیک ہے، تو مجھے کیا کر سکتے ہیں میں تبصرہ کر سکتے ہیں باہر - تو میں ایک نظر ڈالیں - مجھے
ایک متن میں ترمیم کریں فائل کو کھولنے کے.
مجھے صرف اس ترمیم کرنے دے یہاں براہ راست.
ٹھیک ہے.
تم لوگوں کو واضح طور پر دیکھ سکتے ہیں؟
میں کیا کر سکتے ہیں میں تبصرہ کر سکتے ہیں گزشتہ ایک باہر.
یہ گزشتہ ایک تبصرہ کریں گے.
اور پھر میں ڈال دیا، یہاں ایک ڈال دیں گے یہاں بدنیتی پر مبنی چیزیں.
>> تو صارف اصل میں ہے حق، inputting کی؟
صارف inputting کی نہیں ہے چیزیں، ٹھیک ہے؟
اس میں ان پٹ کرنے کے لئے جا رہا ہوں اندر حاصل کرنے کی کوشش کر.
میں نے میں ڈال جا رہا ہوں -
کہ ایک کوٹیشن مارک ہے.
یہ غلطی سے صرف squiggly ہے.
اور پھر کیا کوڈ کیا جا رہا ہے -
معذرت، میں نے اس کو باہر لے جا رہا ہوں.
کیا کوڈ کیا جا رہا ہے یہ سب سے پہلے شامل کرنے کے لئے جا رہا ہے
کوٹیشن یہاں نمبر.
اور یہ آخری شامل کرنے کے لئے جا رہا ہے کوٹیشن نشان کے طور پر اچھی طرح سے.
>> اور یہ بھی شامل کرنے کے لئے جا رہا ہے آخری، آخری کوٹیشن مارک.
لیکن میں ان کوٹیشن تبصرہ کر رہا ہوں باہر پرتیک، تو وہ نہیں چلا.
اور میں اس کوٹیشن ختم کر رہا ہوں یہاں پر نشان زد.
تم سمجھتے ہو؟
آپ کو کھو رہے ہیں؟
میں نے گزشتہ کوٹیشن تبصرہ کر سکتے ہیں مارک، اور کی دیکھ بھال
پہلے کوٹیشن مارک.
>> سامعین: اور صرف ختم سب سے پہلے.
>> Luciano میں ARANGO: جی ہاں.
اور صرف سب سے پہلے ختم.
جی ہاں، یہ ٹھیک ہے.
یہی وجہ ہے کہ میں کیا کر سکتا ہے.
جی ہاں.
اس طرح کسی بھی دیگر سوال؟
یہ ایک بڑا سوال ہے.
نہیں، جی ہاں، شاید.
امید ہے، تم لوگ قسم کی کر دے گا آپ SQL اور مطالعہ جب زیادہ احساس
اس طرح کی چیزیں.
لیکن آپ اس بات کا یقین -
گھڑی میں ان آلات کو برقرار رکھنے کے.
معذرت، یہاں پر ان آلات.
یہ اوزار عظیم ہیں.
کسی کا کوئی سوال ہے تو، تم نے بھی مجھے ای میل کر سکتے ہیں.
یہ میرا معمول کی ای میل ہے.
اور یہ، اپنے کام کا ای میل ہے جو میں نے سمندر میں کام کرتے ہے.
>> ٹھیک ہے، شکریہ.
شکریہ، لوگ.
تم جانا اچھا ہو.
آپ یہاں رہنے کے لئے کی ضرورت نہیں ہے.
طالی نہیں.
یہ عجیب بات ہے.
ٹھیک ہے، شکریہ، لوگ.