Web Security PRO · Fișă de lucru gratuită

Primul tău test de SQL injection

Un laborator, cinci întrebări. Parcurge demo-ul complet de UNION SQL injection și leagă ce vezi în aplicație de cererea HTTP și de interogarea bazei de date.

Lucrează doar în demo-ul pregătit. Aceasta este o fișă de exercițiu, nu o autorizare de a testa alte aplicații și nici o metodologie completă de pentest.

1. Ce ar trebui să funcționeze normal?

   Deschide un produs obișnuit. Găsește parametrul id din cererea HTTP, condiția SQL corespunzătoare, precum și numele și prețul produsului de pe pagină.

   Notează: de unde provine valoarea parametrului, care două coloane le selectează interogarea și ce aștepți în răspuns.

2. Când schimbă datele interogarea?

   Parcurge cu tutorul exemple de ORDER BY și UNION SELECT. Compară un număr greșit de coloane cu o interogare care se potrivește. În acest exercițiu, codul concatenează inputul utilizatorului cu instrucțiunea SQL.

   Notează: fragmentul de input schimbat, rezultatul așteptat și ce dovedește eroarea sau execuția reușită. Simpla absență a unei erori nu dovedește expunerea datelor.

3. Ies datele chiar din baza de date prin aplicație?

   Compară rezultatul din consola SQL cu corpul răspunsului HTTP și cu pagina produsului. Acest model de pagină afișează un singur rând. Verifică diferența dintre identificatorul unui produs existent și unul care nu se potrivește id, apoi urmărește rândurile succesive așa cum explică lecția.

   Notează: ce date au apărut în răspunsul aplicației. Consola SQL oferă o perspectivă suplimentară pentru învățare, nu dovada că un atacator are acces direct la baza de date. Nu echivala un rând vizibil cu expunerea întregului tabel.

4. Elimină remedierea cauza?

   Repetă încercarea UNION în versiunea protejată. Apoi citește un produs obișnuit. Parametrizarea trebuie să trateze inputul ca valoare, nu ca instrucțiune SQL suplimentară.

   Notează: rezultatele încercării de atac și ale citirii legitime. Lipsa datelor expuse nu este suficientă dacă remedierea strică și funcționarea normală a magazinului.

5. Poți anticipa propria variantă?

   Alege una dintre cele 18 variante din modul Experimente. Anticipează rezultatul, rulează testul și compară rezultatele. Testează și propria interogare validă pe tabelele pregătite în consola SQL. Dacă rezultatul te surprinde, revino la input, la interogare și la modul de afișare.

   Completează: „Am schimbat ..., aplicația a construit ..., iar răspunsul a arătat ... . Asta confirmă ..., dar nu dovedește ...”.

Un exercițiu este doar un punct de plecare

Web Security PRO dezvoltă acest tip de analiză în 132 de laboratoare: control al accesului, sesiuni, SQL injection, XSS și alte clase de vulnerabilități. Prima ediție acoperă practica tehnică, fără module suplimentare pentru derularea completă a unui proiect.

Anunță-mă despre prima ediție

Fișa și demo-ul sunt gratuite, fără să fie nevoie de e-mail. Înscrierea este pentru informații despre lansarea și oferta cursului.