"Pelėda IIS identifikuoja SQLs tik prieš tuos, kurie yra vykdomi aplinką. Tai įgyvendinant modulį Trukmė taikymas savisaugos (šiurkštumo).
Jūsų interneto paraišką gauti indėlį per užklausos ir pašto parametrus. Įvesties gali gaminti cross-site scripting, SQL injekcijos ir kitus saugumo pažeidimus. Dabar žinome WAF turi apribojimų, nes ji neveikia šiame procese, bet į tinklą: 1. Kai kurie gali būti priklauso nuo SSL raktus, kai eismo yra šifruojamas. Tie, negali dirbti DH bylą 2. Ji negali būti tikras, kuris vartotojas yra atsakingas už kurios SQL kaip procesas gali naudoti kitą vartotoją paleisti SQLs 3. Sudėtingos URL klastojimo gali apgauti WAF 4. Developer nustatymas backdoor paraiškoje (aktyvuojama papildomą užklausos parametro pagaliau paleisti atskirą kenksmingą kodą). Kaip WAF gali suprasti, kad iš?
Paimkite šį pavyzdį: vartotojo naršyklė siunčia šį HTTP užklausą gauti vartotojų sąrašą katedroje http: //applicationHost/getData.aspx kodas = derpatment. Tačiau vartotojas taip pat gali pakeisti rankiniu būdu į kitą kodas vertės kaip http: //applicationHost/getData.aspx kodas = bendrovė. Be to tarkim kad SQLs yra vykdomas pagal siūlų baseinas, kad autentiškumas naudojant tam tikrą bendrą vartotoją. 1. Duomenų bazės įrankis negali pasakyti, kas kilęs prašymą. 2. WAF reikia sudėtingesnės išsiaiškinti, kad kažkas yra negerai su URL.
Vienintelė alternatyva turite koreliuoja naudotojo informaciją (pavadinimas ir IP) su tikslia SQL, kad paraiška yra vykdančiosios yra būdami toje vietoje, kur prašymas siuntimo SQL iš proceso. Tai yra tikroji "SQL po prašymo papildyti įvesties apdorojimą. Nėra euristika, nėra klaidingai teigiamas. Pelėda IIS siekia atskleisti visas SQL
Kas naujo , šioje laidoje.
Versija 1.3:
- Auditas failą dabar yra vartotojo vardas
- integracija su IBM Guardium perduoti paraišką vartotojo vardas
Komentarai nerastas