sql injection

[Wesley F Souza 1]

Gente, to com um problemão imenso com o SQL Injection, por favor me ajudem!!!

Eu protegi contra as aspas duplas e simples, mas um ser (pessoa) me enviou um print contendo pontos ou virgulas, não deu pra saber direito pq ele embaçou a foto no PhotoShop, ele conseguiu acessar meu admin parece que foi algo assim ?d=./././etc/paineldc algo assim mas nao da pra decifrar direito.

 

Alguém sabe algum tipo de injection por virgula ou ponto? e como conseguir inibir isso? E ele tbm falou que conseguiu ter acesso ao banco de dados, estou desesperado :/

[Ner0 6]

Amigo não importa em que pagina aconteceu a injeção sql o atacante pode consultar todas as tabelas do seu banco de dados e os registros, eu recomendo você sempre tratar todas as entradas de dados.

 

Use PDO ou então a função abaixo que um amigo aqui do fórum postou:

 

 

<?php
 function safeSQL($string)  
    {         
        if(get_magic_quotes_gpc()) 
        { 
            $string = stripslashes($string);  
        } 
        elseif(!get_magic_quotes_gpc())  
        { 
            $string = addslashes($string);  
        } 
                     
        $string = mysql_real_escape_string($string);  
        return $string; 
    } 
?>

 

Trate as entradas de dados, seja via GET ou POST dessa forma:

$variavel = safeSQL($_POST['parametro']);

$variavel = safeSQL($_GET['parametro']);

 

 

Só isso não resolve você tem que tomar todas as medidas possíveis para deixar seu código sempre seguro para não acontecer futuras perdas de dados.

[Wesley F Souza 1]

Amigo não importa em que pagina aconteceu a injeção sql o atacante pode consultar todas as tabelas do seu banco de dados e os registros, eu recomendo você sempre tratar todas as entradas de dados.

 

Use PDO ou então a função abaixo que um amigo aqui do fórum postou:

 

 

<?php
 function safeSQL($string)  
    {         
        if(get_magic_quotes_gpc()) 
        { 
            $string = stripslashes($string);  
        } 
        elseif(!get_magic_quotes_gpc())  
        { 
            $string = addslashes($string);  
        } 
                     
        $string = mysql_real_escape_string($string);  
        return $string; 
    } 
?>

 

Trate as entradas de dados, seja via GET ou POST dessa forma:

$variavel = safeSQL($_POST['parametro']);

$variavel = safeSQL($_GET['parametro']);

 

 

Só isso não resolve você tem que tomar todas as medidas possíveis para deixar seu código sempre seguro para não acontecer futuras perdas de dados.

 

Então amigo, vou usar essa função, só que uma pergunta: com SQL Injection é possível acessar paginas administrativas? pq no print ele conseguiu acessar uma página que só eu tenho acesso, isso é cabível?

Ele tbm chegou a me mandar um email dizendo que era possível fazer a inserção de malware no site através deste erro, isso seria possível?

 

Quais as maneiras de deixar cada vez o código mais seguro?

[Alves Diogo 7]

Olá,

Você possui algum arquivo no site que realize downloads ou rode links externos ? Posso estar enganado, mas pelo que estou vendo, parece ser uma falha do tipo LFI (Local File Include). Pesquise na internet sobre esta falha...

Abraços, Diogo.

[Ner0 6]

Então amigo, vou usar essa função, só que uma pergunta: com SQL Injection é possível acessar paginas administrativas? pq no print ele conseguiu acessar uma página que só eu tenho acesso, isso é cabível?

Ele tbm chegou a me mandar um email dizendo que era possível fazer a inserção de malware no site através deste erro, isso seria possível?

 

Quais as maneiras de deixar cada vez o código mais seguro?

 

Com injeção sql é possível o atacante consultar todas as tabelas e os registros das tabelas do seu banco de dados, dessa forma ele pode consultar o usuário e a senha de um administrador, se ele tem seu nome de usuário e senha ele pode tentar logar na página de login do seu site. Sobre a outra pergunta se caso tiver alguma entrada de dados em seu painel de controle ele pode introduzir códigos maliciosos, e se tiver alguma forma dele fazer upload de um arquivo ele pode upar exemplo uma Shell que é identificada como vírus por suas linhas de códigos maliciosos, se caso o atacante upar uma Shell em seu site basta depois ele ir até o diretório onde ela está, tem algumas shells que quando upada da permissão de explorar, editar e apagar arquivos e pastas.

 

Para se proteger de sql inject só é você desenvolver suas páginas com segurança, sempre tratando as entradas de dados pois somente por elas pode acontecer a exploração da vulnerabilidade, mais se caso não quiser mais se preocupar com sqli basta ler artigos sobre PDO e começar a usar.

[jhrhp 15]

Passa o endereço do site ae :assobiando:

[Wesley F Souza 1]

no print ele mandou com www.site.com/d.php?d=(essa parte não entendi direito mas tava mais ou menos assim, mostrando meu painel administrativo) ./././etc/painel algo assim

 

Queria saber se isso que ele falou, é verdade ou mito, pq nunca vi poder acessar outras páginas por meio do sql injection, sei que da pra manipular o banco de dados mas acessar páginas nunca ouvi falar

[Alves Diogo 7]

no print ele mandou com www.site.com/d.php?d=(essa parte não entendi direito mas tava mais ou menos assim, mostrando meu painel administrativo) ./././etc/painel algo assim

 

Queria saber se isso que ele falou, é verdade ou mito, pq nunca vi poder acessar outras páginas por meio do sql injection, sei que da pra manipular o banco de dados mas acessar páginas nunca ouvi falar

 

Cara, foi como eu disse antes... isso ta me parecendo com uma falha do tipo LFI (Local File Include )!

 

Olá,

Você possui algum arquivo no site que realize downloads ou rode links externos ? Posso estar enganado, mas pelo que estou vendo, parece ser uma falha do tipo LFI (Local File Include). Pesquise na internet sobre esta falha...

Abraços, Diogo.

[Wesley F Souza 1]

Cara, foi como eu disse antes... isso ta me parecendo com uma falha do tipo LFI (Local File Include )!

Downloads não. Link externo que você fala é tipo o que?

Como posso saber se é erro de LFI? e se for mesmo como corrigir?

Se voc poder ajudar ficarei muito grato Alves, estou apavorado com esse print que ele me mandou, fiquei o dia inteiro hoje protegendo o sistema, revendo linhas de códigos que talvez possa ter deixado algum rastro, mas tá complicado nao to tranquilo quanto a isso!

[Wesley David 20]

Colega procura pelo que o "Alves Diogo" lhe informou é esse ataque mesmo que você esta sofrendo, da uma olhada neste artigo mostra o mesmo tipo de ataque.

 

Uma pergunta, você realiza o include ou require a partir de dados de uma URL se sim, faça a verificação se o arquivo chamado se encontra em lista de arquivos permitidos essa é uma das opções para validação existem varias outras, segue vários links para te ajudar

 

http://www.larepaweb.com.ar/2010/11/ataques-lfi-y-rfi/

 

http://iisbrasil.wordpress.com/tag/sql-injection/

 

http://www.itseguridad.es/tendencias-previsiones-mercado/noticias/1010939043405/ataques-rfi-lfi-destacan-amenazas.1.html

[Alves Diogo 7]

Colega procura pelo que o "Alves Diogo" lhe informou é esse ataque mesmo que você esta sofrendo, da uma olhada neste artigo mostra o mesmo tipo de ataque.

 

Uma pergunta, você realiza o include ou require a partir de dados de uma URL se sim, faça a verificação se o arquivo chamado se encontra em lista de arquivos permitidos essa é uma das opções para validação existem varias outras, segue vários links para te ajudar

 

http://www.larepaweb.com.ar/2010/11/ataques-lfi-y-rfi/

 

http://iisbrasil.wordpress.com/tag/sql-injection/

 

http://www.itseguridad.es/tendencias-previsiones-mercado/noticias/1010939043405/ataques-rfi-lfi-destacan-amenazas.1.html

 

 

Segue exatamente isso que o Wesley indicou e voce vai resolver seu problema. Precisando, só chamar!

Abraços. Diogo.

[Wesley F Souza 1]

gente mais uma pergunta, teria como proteger o RFI e LFI pelo htaccess? se sim quais parametros ou expressão eu uso? A verificação de require em array previne mesmo o RFI e LFI?

 

Desde já agradeço muito a todos vocês!