WordPress SQL инъекциясы: қорғауға арналған толық нұсқаулық

Бұл мақаланы тыңдаңыз

SQL инъекциясы WordPress сайттарындағы ең жойқын шабуылдардың кейбірі. Шын мәнінде, олар WordPress-тің ең маңызды осалдықтарының тізімінде екінші орында, сайтаралық сценарийлер шабуылдарынан кейін ғана. WordPress SQL инъекциясы хакерге сайтыңыздың дерекқорына кіруге, содан кейін оны зиянды бағдарламалармен толтыруға мүмкіндік береді.

Егер сіз WordPress сайттарындағы SQL инъекциялық шабуылдары туралы оқысаңыз және олар келтіруі мүмкін зиян туралы алаңдасаңыз, сіз дұрыс жерге келдіңіз. Мен сізге осы шабуылдардан зиянды бағдарламалармен қалай күресуге болатынын және одан да маңыздысы олардың пайда болуын қалай болдырмау керектігін айтамын.

2019 жылы барлық шабуылдардың үштен екісі SQL инъекциялық шабуылдар болды. Бұл сан аздап азайды, бірақ бұл олардың қауіптілігін азайтпайды. Дегенмен, WordPress SQL инъекциялық шабуылының не істейтінін және оның қалай жұмыс істейтінін түсіну сіздің сайтыңызды қорғауда ұзақ жолды алады. SQL инъекциялық шабуылдары кез келген веб-сайт үшін қауіпті және айтарлықтай зиян келтіруі мүмкін.

Мақаланың мазмұны:

• WordPress SQL инъекциялық шабуылдары дегеніміз не?
• WordPress сайтындағы SQL инъекциялық шабуылының салдары
• WordPress сайтында SQL инъекциясының осалдығы бар-жоғын қалай тексеруге болады?
• SQL инъекциялық шабуыл арқылы инфильтрацияланған зиянды бағдарламадан қалай құтылуға болады
• WordPress-те SQL инъекциясын қалай болдырмауға болады?
• Неліктен SQL инъекциялық шабуылдары жиі кездеседі?
• SQL инъекциялық шабуылдары қалай жұмыс істейді?
• WordPress SQL инъекциялық шабуылдарының түрлері
• Шығару

WordPress SQL инъекциялық шабуылдары дегеніміз не?

WordPress SQL инъекциялық шабуылдары сайтыңыздың дерекқорына рұқсатсыз кіру әрекеттері. Веб-сайтыңыздың дерекқорында хабарламалар, беттер, сілтемелер, түсініктемелер және тіпті пайдаланушылар сияқты пайдаланушылар жасаған барлық ақпарат пен мазмұн бар. Бұл маңызды ақпараттың үлкен қоймасы, сондықтан хакерлер үшін алтын кен орны.

WP SQL іске асыру, таңқаларлық емес, SQL пәрмендерін пайдаланады. Құрылымдық сұрау тілі немесе SQL — дерекқорлармен әрекеттесу үшін қолданылатын тіл. Оның дерекқор кестелерінде сақталған ақпаратты қосуға, жоюға немесе өзгертуге болатын пәрмендері бар. SQL веб-сайт файлдарыңызға веб-сайтыңызда көрсету үшін дерекқордан дұрыс деректерді табуға және алуға мүмкіндік береді.

SQL инъекциялық шабуылдары сайтыңыздың пішін өрістеріне SQL пәрмендерін енгізу арқылы жұмыс істейді. Мысалы, хакер сіздің сайтыңызға деректерді енгізу үшін байланыс пішініңізді пайдалана алады. Деректерде веб-сайтыңыз орындайтын SQL пәрмендері бар және осылайша дерекқорыңызды өзгерте алады. Содан кейін, хакер сіздің сайтыңыздың дерекқорына қол жеткізгеннен кейін, олар сіздің сайтыңызды зиянды бағдарламалармен толтыруы немесе басқа да қорқынышты мәселелердің түрлерін тудыруы мүмкін.

SQL инъекциялық шабуылдары үшін әртүрлі кіру нүктелері бар. Хакерлер әдетте пішіндерді және іздеу жолақтары сияқты кез келген басқа ашық өрістерді нысанаға алады. Сондай-ақ арбалар SQL инъекциясына сезімтал екені белгілі.

WordPress сайтындағы SQL инъекциялық шабуылының салдары

WordPress SQL инъекциясының салдары хакердің көлеңкелі қол жеткізуімен не істеуді таңдайтынына байланысты айтарлықтай өзгеруі мүмкін. Міне, хакерлердің веб-сайттарға тигізетін салдары:

• Ең нашар жағдайда, хакер дерекқордың барлық мазмұнын жоя алады. Бұл сіздің сайтыңызды бұзады және тәуелсіз сақтық көшірмелеріңіз болмаса, оны қалпына келтіру мүмкін болмайды.
• WordPress жүйесінде SQL инъекциясының көмегімен хакер сіздің дерекқорыңызға зиянды бағдарламаны енгізе алады. Бұл SEO спамының зиянды бағдарламасы және кілт сөзді бұзу немесе фармацевтикалық бұзу сияқты нұсқаларды білдіруі мүмкін. Бұл сонымен қатар барлық жазбалар мен беттерді жұқтыратын бұзылған қайта бағыттайтын зиянды бағдарламаны білдіруі мүмкін.
• Хакер пайдаланушының тіркелгісін бақылауға алып, олардың артықшылықтарын көтере алады. Біртүрлі пайдаланушы әрекетін көрсеңіз, бұл бұзылған веб-сайттың белгісі болуы мүмкін.
• Хакер дерекқорыңызға кіру мүмкіндігіне ие болғандықтан, ол деректерді қоса, өзгерте, жоя алады немесе тіпті ұрлай алады. Бұл үлкен құпиялылық мәселесін тудырады, әсіресе электрондық пошта немесе жеке деректер сияқты пайдаланушы деректерін сақтасаңыз. Деректер ағып кету пайдаланушыларға қауіп төндіреді.
• Соңында, SQL инъекциялық шабуылдары қашықтан кодты орындау шабуылдарына әкелуі мүмкін.

Қысқаша айтқанда, SQL инъекциялық шабуылдар – хакерлердің рұқсатсыз қол жеткізу үшін пайдаланатын механизмі. Олар жасағаннан кейін веб-сайтыңызға үлкен зиян келтіруі мүмкін.

WordPress сайтында SQL инъекциясының осалдығы бар-жоғын қалай тексеруге болады?

SQL инъекциялық шабуылдарының жалпы сәтті болуының ең үлкен себебі осалдықтарға байланысты. Осалдықтар - бұл WordPress өзегі, плагиндері немесе тақырыптары болсын, кодтағы кемшіліктер. Біз осы мақалада кейінірек WordPress SQL инъекциясының жұмыс істеу механизмін қарастырамыз, бірақ осалдықтар кіру нүктелері екенін айту жеткілікті.

Сайтыңызда WordPress SQL инъекциясының осалдығы бар-жоғын анықтаудың бірнеше жолы бар:

1. Сайтыңыздағы кез келген нәрсе жаңартуды қажет ететінін тексеріңіз. Сайтыңыздағы кез келген бағдарламалық құралда осалдық анықталса, сол бағдарламалық құралды әзірлеушілер қауіпсіздік патч жаңартуын шығаруды қамтамасыз етеді. Бұл менің сайтыңызды жаңартуды қолдайтынымның басты себебі.

2. Енуді тексеру құралын пайдаланыңыз. Өте танымал SQL инъекция құралы, sqlmap, веб-сайтыңызды WordPress SQL инъекциясының осалдығын тексереді.

3. Сайтты SQL кодымен тексеріңіз. Бұл қадам сізден біраз техникалық білімді талап етеді. Сайтыңыз қай дерекқорды пайдаланатынына байланысты, қандай пәрмендерді қолданатынын анықтау үшін осы алдау парағын пайдалануға болады.

Сондай-ақ, SQL инъекциясының осалдықтарын тексеретін онлайн сканерлер бар. Sqlmap – олардың бірі, бірақ сонымен қатар Acunetix, веб-сайттың осалдықты сканері және басқа да ашық бастапқы құралдар бар. Дегенмен, бұл енуді тексеру құралдары және сіздің сайтыңызды шабуылдардан қорғай алмайды. Сайтты шабуылдардан қорғау үшін WordPress брандмауэрін орнату қажет.

SQL инъекциялық шабуыл арқылы инфильтрацияланған зиянды бағдарламадан қалай құтылуға болады

WordPress SQL инъекциясы зиянды бағдарламаның өзі емес, сайтыңыздың дерекқорына немесе сайттың өзіне ықтимал зиянды бағдарламаларды енгізу механизмі.

Сіздің сайтыңыздағы зиянды бағдарламалардың белгілері

Зиянды бағдарлама әрқашан веб-сайтта анық көрінбейді, дегенмен кейбір белгілерге назар аударуға болады:

• Google іздеу нәтижелерінде веб-сайтыңызды спамдау.
• Google Search Console жүйесіндегі қауіпсіздік мәселелері.
• Веб-сайтыңыздағы қателер және басқа мәселелер, мысалы, беттердегі бұзылған код немесе спам қалқымалы терезелері.
• Веб-сайттағы түсініксіз ішкі өзгерістер.
• Сайт басқа сайтқа бағыттайды.
• Google сіздің сайтыңызды қара тізімге енгізеді.
• Яндекс эмиссиясында позициялардың жаппай төмендеуі байқалады.
• Негізгі сұраулар үшін позициялар мен нәтижелер жоғалады.
• Яндекс веб-шебері қауіпсіздіктің бұзылуы туралы хабарлайды.
• Веб-хост сайтты тоқтатады немесе ескерту электрондық поштасын жібереді.
• Сайттың баяулауы сияқты өнімділік мәселелері.
• Пайдаланушыларға жіберілген спам сияқты пайдаланушы тәжірибесі мәселелері.
• Кенет трафикке арналған талдау үлгілеріне жасалған өзгерістер.
• Google Ads есептік жазбасы қара тізімге енгізілген.
• Yandex YAN есептік жазбасы да бұғатталған.

Осы маркерлердің біреуі ғана аномалия болуы мүмкін, бірақ екі немесе одан да көп комбинациясы зиянды бағдарламаның сенімді белгісі болып табылады.

Сайтты зиянды бағдарламаға сканерлеңіз

Веб-сайтыңызда түсініксіз құбылысты көрсеңіз, веб-сайтыңызда зиянды бағдарлама бар екенін растау керек. Мұны істеудің ең жақсы жолы - сайтыңызды зиянды бағдарламаларға сканерлеу. Веб-сайтыңызды тексеріп шығудың үш жолы бар, біз оларды тиімділік бойынша төмендеу ретімен тізімдедік.

• Веб-сайтыңыздағы немесе дерекқордағы зиянды бағдарламаның ең кішкентай іздерін табу үшін қауіпсіздік сканерімен терең сканерлеңіз. Бұл сіздің сайтыңызда зиянды бағдарлама бар-жоғын анықтаудың соңғы жолы.
• Онлайн сканермен сканерлеу тиімді емес сканерлеу әдісі болып табылады, бірақ бірдеңе дұрыс емес екенін анықтауға арналған жақсы алғашқы қадам.
• Зиянды бағдарламаны қолмен сканерлеу ең тиімдісі, сондықтан оны мүлдем ұсынбаймыз.

Сайтыңыздан зиянды бағдарламаны жойыңыз

Сайтыңызда зиянды бағдарлама бар екенін анықтағаннан кейін оны дереу тазалауға басымдық беру керек. Зиянды бағдарлама анық және уақыт өте нашарлайды және нашарлайды.
WordPress сайтынан зиянды бағдарламаны жоюдың 3 жолы бар:

1. WordPress қауіпсіздік плагинін пайдаланыңыз;
2. WordPress қолдау тобын жалдаңыз;
3. Зиянды бағдарламаны қолмен тазалаңыз.

1. WordPress қауіпсіздік плагинін пайдаланыңыз

Үш опцияның ішінде қауіпсіздік плагинін қолданған дұрыс. Мен келесідей плагиндерді ұсынамын:

• All In One WP Security
• Wordfence Security

Олар бірнеше минут ішінде веб-сайтыңызды зиянды бағдарламалардан тазартуға көмектеседі. Олар деректеріңізді толығымен сақтай отырып, сайтыңыздан тек зиянды бағдарламаларды хирургиялық жолмен жою үшін интеллектуалды жүйені пайдаланады.

Шын мәнінде, WordPress SQL Injection веб-сайтыңыздың дерекқорына зиянды бағдарламаны енгізе алады, бірақ бұл сияқты плагиндер зиянды бағдарламалардың дерекқорын тазалауға қатысты барлық басқа қауіпсіздік плагиндерінен жоғары.

2. WordPress анықтамалық үстелін жалдаңыз

Келесі ең жақсы нұсқа - сайтыңызды зиянды бағдарламалардан тазарту үшін техникалық қызмет көрсету қызметін немесе қауіпсіздік сарапшысын жалдау. Дегенмен, бұл қызметтердің қымбат екенін және тазалауды сирек орындайтынын ескеріңіз. Нәтижесінде сіз қызметтер үшін үлкен шот ала аласыз.

3. Зиянды бағдарламаны қолмен тазалаңыз

Мен зиянды бағдарламаны қолмен тазалауға кеңес беремін. Уақытты қоспағанда, адам қателігіне әрқашан орын бар.

Пост хакерлік бақылау тізімі

Зиянды бағдарлама жойылғаннан кейін сізге бірнеше әрекеттерді орындау қажет. Бұл хакердің сіздің веб-сайтыңызға және дерекқорыңызға біраз уақыт қол жеткізуі мүмкін екенін ескеретін қызмет тапсырмалары.

1. Барлық құпия сөздерді жаңартыңыз: пайдаланушылар, дерекқор, электрондық пошталар, барлығы;
2. Рөлдерді және WordPress қауіпсіздік кілттерін өзгерту;
3. Барлық кэштерді тазалаңыз;
4. Пайдаланушыларды құпия сөздерді өзгерту туралы ескертіңіз.

Жалпы ереже ретінде, құпия сөздер сияқты құпия ақпарат бұзылған болуы мүмкін және сондықтан өзгерту қажет деп болжаған дұрыс.

WordPress-те SQL инъекцияларын қалай болдырмауға болады?

Зиянды бағдарламалармен және шабуылдармен күресудің ең жақсы жолы олардың пайда болуын болдырмау болып табылады. Сайтыңыздың мүмкіндігінше қауіпсіз екеніне көз жеткізу үшін бірнеше арнайы SQL инъекциялық қауіпсіздік қадамдары бар:

• Қауіпсіздік плагинін орнатыңыз: Қауіпсіздік плагинінің қаншалықты маңызды екенін баса айта алмаймын. Веб-сайт қауіпсіздігін сақтау үшін сізге күнделікті жұмыс істейтін сканер қажет. Зиянды бағдарлама сіздің сайтыңызда ұзақ тұрған сайын қауіпті болады. Сканерлер күн сайын зиянды бағдарламалар мен осалдықтарды іздейді және сіз бір уақытта сайтыңызды бірнеше минут ішінде тазалап, жағдайды нашарлатпауға болады.
• Брандмауэрді пайдаланыңызA: Брандмауэр WordPress әкімшісі төтеп бере алатын SQL инъекциялық шабуылдарынан ең жақсы қорғаныс болып табылады. Осалдық мәселесі мынада, веб-сайт әкімшісі ретінде негізгі мәселелерді шешу үшін аз ғана нәрсе жасай аласыз. Бірақ сіз WordPress брандмауэрін орната аласыз. Брандмауэр қашықтан кодты орындау және сайттар арасындағы сценарийлер сияқты басқаларға қосымша SQL инъекциясы сияқты шабуылдарды блоктау үшін ережелерді пайдаланады.
• Барлық плагиндер мен тақырыптарды жаңартыңыз: Мен сіздің сайтыңыздағы барлық нәрсені жаңартудың маңыздылығы туралы айтамын. Жаңартулар көбінесе осалдықтарға арналған қауіпсіздік түзетулерін қамтиды. Жаңартуларды кейінге қалдыруды таңдау сәтті шабуылдар мен зиянды бағдарламаларға әкелуі мүмкін.
• Нөлсіз бағдарламалық қамтамасыз ету: Кеңейтімдерді мұқият таңдаңыз. Жарамсыздандырылған плагиндер мен тақырыптар уақыт бомбалары болып табылады. Егер олар алдын ала орнатылған зиянды бағдарламамен келмесе, олардың орнына пайдалануға болатын бэкдодар болуы мүмкін. Сондай-ақ, плагин немесе тақырыпты жаңарту мүмкін емес, себебі ол бұзылған нұсқа. Осылайша, осалдықтар заңды нұсқада бекітілгеніне қарамастан, олар мәңгілікке нөлдік күйде қалады.
• WordPress қауіпсіздігіңізді күшейтіңіз. WordPress веб-сайтында ең жақсы қауіпсіздік тәжірибелерін енгізумен қатар, оны күшейте аласыз. Мен әсіресе XML-RPC өшіруді және веб-сайтыңызда екі факторлы аутентификацияны қосуды ұсынамын.

Егер сіз әзірлеуші болсаңыз немесе веб-сайтыңыз үшін пайдаланушы кодын жасап жатсаңыз, веб-сайтыңыздағы WordPress SQL инъекциясының осалдықтарының алдын алу үшін келесі әрекеттерді орындауға болады:

• Дайындалған мәлімдемелерді қолданыңыз. Бұл пішіндегі кіріс алдымен тексеру үшін функцияға жіберілетінін, айнымалыда сақталатынын, содан кейін операторларға берілетінін білдіреді. Енгізулер тікелей пәрмендерге ендірілмейді, содан кейін орындалады.
• Пайдаланушы енгізуін зарарсыздандыруды ұмытпаңыз. Енгізуді тексеру өте маңызды. SQL тіліндегі операторлар болып табылатын барлық арнайы таңбаларды алып тастаңыз және оларды құпия сөздерде пайдалануға мүлдем тыйым салыңыз. Сіздің жүйеңіз бұл таңбаларды дереу қабылдамауы керек.
• Сондай-ақ дайындалған мәлімдемелерді пайдаланатын функциялары бар шеңберлерді пайдалануға болады. Көптеген әзірлеушілер осы платформаларды пайдаланады, сондықтан олар SQL мәлімдемелерін өз кодтарына тікелей жазудың қажеті жоқ.
• Дерекқорға қол жеткізуді қажет ететіндерге ғана шектей аласыз.

Даму тұрғысынан сізге көмектесетін көптеген кодтау ресурстары бар. Бақытымызға орай, WordPress құпия сөздерді сақтау үшін рөлдерді пайдаланады, сондықтан WP SQL инъекциясының бір түрі туралы алаңдау керек.

Неліктен SQL инъекциялық шабуылдары жиі кездеседі?

SQL инъекциялары хакерлер үшін көптеген құнды деректерге әкеледі. Бұл олардың жиі кездесетіндігінің басты себебі. Басқа себептер болса да:

• Көптеген веб-сайт дерекқорлары SQL пайдаланады.
• Шабуыл негізінен пішін өрістері арқылы жұмыс істейді және көптеген веб-сайттарда деректерді енгізуге мүмкіндік беретін кем дегенде бір өріс бар. Байланыс формасы, іздеу өрісі және т.б.
• Интернетте веб-сайттағы SQL инъекциясының осалдықтарын анықтай алатын көптеген сканерлер бар. Бұл әдетте веб-сайт әкімшісіне олардың қауіпсіздігінің әлсіз жақтары туралы ескертуге арналған этикалық бұзу құралдары, бірақ оны хакерлер де пайдалана алады.
• Өкінішке орай, SQL инъекцияларын орындау оңай. Олар тым көп техникалық білім мен тәжірибені қажет етпейді.
• Бұл осалдықтарды есепке алу қиын. Шын мәнінде, SQL инъекциясының осалдықтары WordPress қауіпсіздік плагиндерінде де табылды. Сіз оларды табады деп күтпейтін жалғыз орын.

2022 жылдың басында WordPress өзегінде SQL инъекциясының осалдықтары да анықталды. Әзірлеушілер ескі шабуыл әдістерінен қорғауды енгізген сайын, хакерлер веб-сайттарды пайдаланудың жаңа жолдарын табуда.

SQL инъекциялық шабуылдары қалай жұмыс істейді?

SQL инъекциялары хакерлер веб-сайтқа SQL пәрмендерін енгізіп, дерекқорға қол жеткізген кезде жұмыс істейді. Мұны істеудің көптеген жолдары бар, біз оларды SQL инъекциялық шабуылдарының түрлері туралы бөлімде қарастырамыз.

Негізінде, хакерлер тексерілмеген кірістерді пайдаланады. Санитизацияланбаған кірістер - бұл жүйе арқылы расталмаған немесе расталмаған пайдаланушы кірістері, бұл жағдайда веб-сайт. Енгізілген мәліметтер дерекқор арқылы қабылданады және нәтижелер кері жіберіледі. Бұл қажетті нәтиже алу үшін SQL пәрменін шығармашылықпен пайдалану туралы.

Мысалы, хакерлер дерекқордан ақпаратты алу үшін SQL-де қамтылған арнайы таңбаларды пайдаланады. Таңбалар немесе белгілер тілде ерекше мағынаға ие операторлар ретінде белгілі. Жұлдызша таңбасы (*) «барлығы» дегенді білдіретін оператор болып табылады. Операторлар кодтау тиімділігін арттыру үшін пайдаланылады, бірақ олар спецификалық емес болғандықтан, абайсызда пайдаланылған жағдайда теріс пайдаланылуы мүмкін.

WordPress SQL инъекциясының мысалы:

SQL инъекциялық шабуылының қалай жұмыс істейтінінің мысалын қарастырайық:

Сізде пайдаланушы аттары немесе электрондық пошта мекенжайларының бірін білетін кіру пішіні бар делік.

SELECT * FROM users WHERE email = 'admin@siteemail.ru' AND pass = 'password' LIMIT 1

Құпия сөзді табу көмектеспеуі мүмкін. Дегенмен, арнайы таңбаны қосуға болады: жалғыз тырнақша. Нәтижесінде сіз күтпеген қатені аласыз.

Журналдар синтаксистік қатенің орын алғанын көрсетеді, яғни жалғыз тырнақша құпия сөзден таңба емес, код ретінде оқылды. Жалғыз тырнақшаның SQL тілінде ерекше мағынасы бар, сондықтан қатені тудырады.

SELECT * FROM users WHERE email = 'admin@siteemail.ru' AND pass = 'password'' LIMIT 1

Егер сіз кодтың екінші жолын қарасаңыз, жалғыз тырнақша синтаксисті толығымен өзгертеді. Құпия сөздің екі жағындағы жалғыз тырнақша жұбы құпия сөз кодтың сол жолында қай жерде басталып, аяқталатынын көрсетеді. Сондықтан, осы белгілердің арасындағы барлық нәрсе құпия сөз ретінде қарастырылуы керек. Дегенмен, құпия сөздің соңына қосымша тырнақшаларды қосу арқылы сіз құпия сөз деректерін күткеннен ертерек аяқтайсыз. Күтпеген қате хакерге бұл пішіннің SQL инъекциясына осал болуы мүмкін екенін айтады, себебі ол пішін өрістеріне енгізілгеннің барлығын дәл терілгендей қабылдайды және оны дерекқорға жібереді.

Айтпақшы, бұл хакер үшін қызықты ақпарат. Бұл ақпарат оларға дерекқордың пәрмендерді қалай өңдейтіні туралы түсінік береді.

Сондықтан құпия сөз өрісіне ' немесе 1=1 - енгіздік.

SELECT * FROM users WHERE email = 'admin@siteemail.ru' AND pass = '' or 1=1--' LIMIT 1

Бұл бізге жүйеге қол жеткізуге мүмкіндік берді. Неліктен? Жалғыз тырнақша, бұрын түсіндіргендей, құпия сөз өрісін тоқтатты. Ал 1=1, біз енгізгеніміз жүйедегі шынайы мәнге түрлендіріледі.

Содан кейін - дерекқор TRUE мәнінен кейінгі барлық нәрсені елемейді. Осылайша, пайдаланушы аутентификацияланды, себебі код құпия сөздің дұрыс екенін көрсететін шынайы мәнді қайтарды.

WordPress SQL инъекциялық шабуылдарының түрлері

Алдыңғы бөлімдегі мысал өте қарапайым SQL инъекциялық шабуылының шағын суреті болып табылады. Көптеген WordPress бағдарламалары қазірдің өзінде мұндай шабуылдардан қорғайды. Ол классикалық жолақты SQL инъекциясы ретінде белгілі.

Осы классикалық SQL инъекцияларынан басқа тағы бірнеше санаттар бар. Дегенмен, басқа түрлер туралы айтпас бұрын, WordPress сайттарының контекстінде білуге болатын бірнеше терминдер бар:

• Веб қолданбасы: Көптеген веб-қауіпсіздік ресурстары веб-қосымшаларға қатысты SQL инъекциялық шабуылдарын түсіндіреді. Біздің мақалада біз WordPress сайттары туралы арнайы айтып отырмыз. Сондықтан, бұл жағдайда веб-қосымша веб-сайт болып табылады. Бұл пайдаланушы өзара әрекеттесетін алдыңғы бөлік және шын мәнінде бұл оны веб-сайттың артқы жағынан, яғни дерекқордан ажыратуы керек.
• Веб-сервер: Бұл сіздің WordPress веб-сайтыңызды орналастыратын веб-сервер. Барлық веб-сайттар хостинг компанияларының веб-серверлерінде сақталады.
• Өтініштер/жауаптар: Интернеттегі байланыс сұраулар арқылы жүзеге асады. Адам сіздің веб-сайтыңызбен браузер арқылы әрекеттеседі. Браузер веб-серверге сұрау жібереді, содан кейін ол сол сұраудың мазмұнын өңдейді және жауапты адамның шолғышына кері жібереді. Мысалы, Google сайтындағы веб-сайт сілтемесін бассаңыз, веб-сайт серверіне сұрау жіберіледі. Жауап мынада: веб-сайт сіздің браузеріңізде жүктелген.
• Арна: Арна - инъекциялық шабуылдар мен сол шабуылдың нәтижелері үшін пайдаланылатын байланыс әдісі. Инъекциялық шабуылдардың келесі санаттарында негізгі айырмашылық арна болып табылады. Жолақты шабуылдарда жауап беру арнасы сұраумен бірдей. Дегенмен, логикалық шабуылдар мен диапазоннан тыс шабуылдар үшін арна әртүрлі. WordPress сайттары жағдайында хакер сайтты шабуылдау үшін пайдаланады. Егер шабуылдың нәтижелері сайттың өзінде көрінсе, SQL инъекциясы бір арнаны пайдаланады деп айтылады.

Шабуыл түрлері

• Жолақты SQL инъекциясы/Классикалық SQ инъекциясы: Негізгі жүйенің қалай жұмыс істейтінін түсінудің әртүрлі жолдары бар, қателер мен басқа жүйелік хабарлар бұл идеяны алудың жақсы жолы болып табылады. Жолақты SQL инъекциялары негізінен орындалатын SQL мәлімдемелерін жібереді және нәтижелер сол бетте көрсетіледі. Классикалық SQL инъекциялық шабуылдарының екі негізгі түрі бар:
  — Қатеге негізделген шабуыл: Мұнда инъекциядағы SQL мәлімдемесі әдейі қате синтаксисті немесе енгізуді қамтиды. Орындалған кезде жүйе қате туралы хабарды қайтарады. Осы қате туралы хабар негізінде хакер дерекқор туралы ақпаратты біріктіре алады. Қате туралы хабарлар әзірлеушілерге мүмкіндігінше пайдалы болуы және қателерді жылдам анықтауға мүмкіндік беруі керек. Бұл осы функцияны өрескел теріс пайдалану.
  — Негізгі шабуылға қосылыңыз: Бірлестік мәлімдемелері – екі немесе одан да көп мәлімдемелерді біреуге біріктіретін SQL пәрмендері. Осы осалдық әсер еткен веб-сайттар қалыпты сұраудың соңында зиянды сұрауды белгілейді, осылайша ол орындалады. Нәтижелер бетте HTTP жауабы ретінде көрсетіледі.
• Inferential SQL Injection/Blind SQ Injection: Жолақты SQL инъекциялық шабуылдарынан айырмашылығы, SQL сұрауларының қателері немесе нәтижелері бетте көрсетілмейді. Осылайша, хакер әр түрлі енгізу түрлерін қолданып көреді, содан кейін дерекқордың қалай жұмыс істейтінін анықтау үшін нәтиже әрекетін талдайды. Оны жарғанат мүйізі сияқты елестетіп көріңіз. Сигнал нысандардан секіргенде, жарғанат нысанның өлшемі мен қашықтығын және оның тамақ немесе қауіп екенін анықтай алады. SQL инъекциялық инференциалды шабуылдардың екі негізгі түрі бар:
  — Логикалық шабуыл: Хакер алдымен шынайы нәтиже беретінін және веб-қосымшаның әрекетін бақылайтынын білетін сұрауды жіберуден бастайды. Бұған мысал ретінде әрқашан дұрыс болатын 1=1 сияқты шартты келтіруге болады. Сұраныс "жалған" деп шешілген кезде хакер әрекетті бақылайды. Бұл ақпарат арқылы олар дерекқордың ақиқат пен жалғанға қалай әрекет ететінін біледі. Хакер бұл ақпаратты деректерді алу үшін қалай пайдалана алатыны бірден түсініксіз болуы мүмкін. Дегенмен, хакер енді шын-жалған сұрақтар қатары болып табылатын сұрауларды жасай алады. Мысалы, әкімші тіркелгісінің құпия сөздерін шығару үшін хакер құпия сөз таңбасын әріптер, сандар және арнайы таңбалар тізімінен таңба бойынша тексере алады. Бұл тізім шектеулі болғандықтан, құпия сөз бірте-бірте ашылады. Келісіңіз, бұл көп уақытты қажет ететін жалықтыратын процесс. Дегенмен, хакерлер мұны бірнеше минут ішінде болатындай етіп автоматтандырады.
  — Уақытқа негізделген шабуыл: Теориялық жағынан логикалық шабуылға ұқсас, уақытқа негізделген шабуыл ақиқат/жалған нәтижеге емес, уақыт кідірісіне сүйенеді. Егер сұрау дұрыс болса, жауап біраз уақыттан кейін қайтарылады. Олай болмаса, бұл бірден болады.

Inferential SQL Injection шабуылдары конфигурациялануына байланысты ұзағырақ уақыт алуы мүмкін. Дегенмен, бұл олардың қауіптілігін төмендетпейді.

• SQ диапазоннан тыс инъекциялық шабуыл: Бұл шабуыл түрлері SQLi қорытынды шабуылдарынан кейінгі қадам болып табылады. Жолақтан тыс SQL инъекциялық шабуылдарында жауаптар веб-сайтта мүлдем көрсетілмейді.

Сондықтан SQLi диапазонынан тыс шабуылдар негізгі жүйені әдетте хакер басқаратын басқа жүйеге жауап жіберуге мәжбүрлеу арқылы жұмыс істейді.

SQL инъекциясы арқылы зиянды бағдарлама сіздің сайтыңызға қандай әсер етеді?

Зиянды бағдарлама веб-сайтқа үлкен зиян келтіреді және жоғалтады. Ол ресурстарды жейді, келушілерді алып кетеді және көптеген стрессті тудырады. Әдетте әкімші үрейленеді. Бұған қоса, бұзылған веб-сайттарда көрінетін кейбір зиянды бағдарлама әсерлері:

1. Органикалық жарылыстар;
2. Google сіздің сайтыңызды қара тізімге енгізеді;
3. Яндекс сіздің сайтыңызды блоктайды;
4. Сайт қауіпті деп белгіленген;
5. Веб-хост веб-сайтыңызды тоқтатады;
6. Келушілер сіздің сайтқа кіруді тоқтатады.

Бұл тізім тіпті проблемалардың бетін сызып тастамайды - олар тек ең қорқынышты мәселелер. Қысқасы: зиянды бағдарлама ешқашан жеңіл қабылданбауы керек.

Шығару

WordPress әкімшісінің веб-сайтындағы WordPress SQL инъекциясының осалдықтарын азайту үшін барлығының жаңартылғанына көз жеткізуден басқа ештеңе істей алмайды. Дегенмен, жақсы WordPress брандмауэр хакерлердің осы осалдықтарды пайдалануына жол бермейді, сондықтан веб-сайт қауіпсіз болып қалады. WordPress қауіпсіздігін сақтау үшін кез келген әкімші жасай алатын ең жақсы нәрсе - қауіпсіздік плагинін орнату.

Осы мақаланы оқу:

• Сайтты WordPress шабуылынан қалай қорғауға болады?
• WordPress .htaccess файлы: Толық нұсқаулық

Оқығаныңыз үшін рахмет: SEO HELPER | NICOLA.TOP