Problem z SQL Injection nie ogranicza się tylko do webaplikacji. Również "grube" aplikacje mogą mieć ten sam problem, czego przykładem może być ta informacja: SQL injection w Płatniku. Tylko co z tego? Dla mnie wygodniejszym rozwiązaniem jest odzyskanie hasła do bazy danych i podłączenie się bezpośrednio do niej. Jeśli coś ma schrzanioną u podstaw architekturę, to błędy typu SQLi nie robią na mnie wielkiego wrażenia... Choć ciekawostka to oczywiście jest :)
Tuesday, May 11. 2010
Komentarze
A jak dobrze się zabezpieczyć przed odzyskaniem zakodowanego hasła z rejestru?
#1
Rafal
o
2010-05-11 11:50
(Odpowiedz)
Obawiam się, że jest to dość karkołomne zadanie: http://wampir.mroczna-zaloga.org/archives/410-szyfrowanie-czy-zaciemnianie-czyli-hasla-w-konfiguracji.html
#1.1
Paweł Goleń
o
2010-05-11 12:06
(Odpowiedz)
A są inne znane i dobre rozwiązania?
#1.1.1
Rafał
o
2010-05-11 12:12
(Odpowiedz)
Rafał są, ale czy dobre? Na pewno nie tanie. Skype np. korzysta z zewnętrznych serwerów uwierzytelniających, do których komunikacja jest szyfrowana. Sama aplikacja instalowana u klienta jest całkiem nieźle zabezpieczona przez reverse-engineeringiem (o ile w ogóle można się zabezpieczyć przed RE, bardziej chodzi tu o utrudnianie pracy crackerowi)
#1.1.1.1
Piotr Konieczny
(Strona)
o
2010-05-11 13:24
(Odpowiedz)
Czyli jest tak jak myślałem. Dziwi mnie dlaczego wydawcy Płatnika, narzucają nam ten sposób zabezpieczeń. Z miłą chęcią wydelegował bym domenowego użytkownika, który byłby w bazie SQL określonym administratorem programu i żaden inny więcej.
#2
Rafał
o
2010-05-11 13:49
(Odpowiedz)
Małe uzupełnienie do I co z tego, że jest SQLi w Płatniku? Napisałem, że błędy są już w architekturze programu, więc błędy w implementacji nie robią już tak dużego wrażenia. Warto przyjrzeć się temu tematowi, bo sposób działania programu Płatnik jest bard
Przesłany: May 11, 21:18