Sta je SQL Injection??

[ivana94]

Poz, mozel li neko da mi obijasni malo bolje sta je "SQL Injection" ?
Hvala u napred

[EpicG]

http://lmgtfy.com/?q=sql+injection
Uzivaj.

[rudar]

Koja je poenta foruma ako se za svako postavljeno pitanje ljudi redirektuju na Google?

[JohnnyNT]

^ Zašto trošiti vreme i reči na objašnjavanje nečega što je već (možda i bolje) objašnjeno na mnogo mesta na internetu.

[orange47]

to podseca na ovaj sa xkcd-a: http://xkcd.com/327/

[Deusdies]

JohnnyNT kaže:

^ Zašto trošiti vreme i reči na objašnjavanje nečega što je već (možda i bolje) objašnjeno na mnogo mesta na internetu.

Koja je svrha SK foruma onda uopšte, kada je 99.99% stvari koje ljudi pitaju ovde već objašnjeno negde na internetu?

[Ivan452]

Jednostavno: SQL injection ti tehnika za napad na bazu preko sajta (moglo bi i preko programa).

Malo detaljnije:
Za razumevanje sta je SQL injection potrebno ti je osnovno znanje SQL sintakse.
Evo na stalno koriscenom primeru:
Ako imas neko logovanje negde i unosis korisnicko ime. Kada ga uneses ako se u pozadini koristi neka baza standardna sintaksa bi bila:

SELECT * FROM users WHERE name = '" + userName + "' AND password = '" + password + "'

Gde su userName i password vrednosti koje korisnik unosi na login stranici. Ako korisnik sa odgovarajucom sifrom postoji baza ce vratiti korisnika, u suprotnom nece imati sta da vrati.

E sada, ako bi korisnik prilikom logovanja za userName ukucao:

' or '1'='1' -- '

Upit koji bi se izvrsio nad bazom bi glasio:

SELECT * FROM users WHERE name = '' or or '1'='1'

I ovo bi ti uvek dozvolilo pristup tom sajtu. Jer:
1. prvi apostrof zatvara deo za name
2. '1'='1' je uvek tacno
3. --oznacava se ne uzima u obzir bilo sta sto ide posle toga(to je oznaka za komentar u SQL-u)
Ovaj upit bi ti vratio celu listu korisnika iz baze i sve njihove podatke. Konkretno mislim (nisam 100% siguran) da bi te ulogovao kao prvog korisnika iz liste. Sto je ranije bio poprilican problem jer je prvi korisnik uglavnom bio Administrator.

Sumnjam da postoji ozbiljniji sajt na kojem ce ovo danas proci.
Na nekim amaterskim i mozes da probas.

[voodoo_]

Long story short, to ti je kad u polje na sajtovima gde treba da uneseš korisničko ime ili lozinku, ti uspeš da uglaviš i određenu komandu kojom kompromituješ pozadinsku bazu podataka koja čuva korisnička imena, lozinke i ko zna još koje podatke.

[ivana94]

hvala