veritabanına saldırı denemişler

merhaba bir video sitem var, hazır sistem değil, özel yazılım.

arama yapmak için bir kutu var, burada yapılan aramaları veritabanında kaydedip, tekrar aranırsa hızlıca geri getirebilmek için bir tabloda topluyorum.

bugün tesadüfen burada bazı problemli aramalar yapıldığını gördüm.

SQL injection denemiş olabilirler, fakat nedir nasıl yapılır bilmem.

mesela arama kutusuna şunu aramış adam:

(SELECT (CASE WHEN (7862=7862) THEN 7862 ELSE 7862*(SELECT 7862 FROM INFORMATION_SCHEMA.PLUGINS) END))

ve diğer birkaç örnek:


sitenin kodlarını yazalı çok oldu, nerde ne var hatırlamıyorum, ama güvenli olacak şekilde süzgeçten geçirip veri tabanına sorgu yollamışımdır (10 yıllık site)

bu şekilde sql kodu yazarak arama kutusunu kullanan kişiler neye ulaşmaya çalışmıştır?

Blind SQL Injection denemiş olabilirler. Scriptinizde açık bulunup bulunmadığını kontrol edin/ettirin.

Yazılımınız eski ise küçümsenmeyecek derecede önemli bir açıktır. Zamanında güvenliği sağlamak amaçlı birçok web sayfasında SQL Injection yöntemini kullanarak admin bilgilerini öğreniyordum. Hey gidi günler

site adresini iletirseniz nereden girmeye çalıştıklarını kontrol edeyim

canlar desteğiniz için teşekkür ederim.

konuyu açtıktan sonra tekrar kontol ettim, arama kutusuna girilen metni özel karakterlerden arındırıp öyle kaydediyormuşum zaten, daha önce aynı sorgu yapıldıysa eski kayıtları okutuyorum. bu nedenle adam her seferinde kodda birkaç değişiklik yapmak zorunda kalmış amacına ulaşsaydı kodu değiştirip değiştirip tekrar denemek zorunda kalmazdı.