Anne  de Morel

Anne de Morel

1656080949

Comment Se Protéger Contre L'injection SQL Aveugle

L'injection SQL est l'un des principaux problèmes dans le monde des bases de données. Elle est si répandue que même l'OWASP la classe en permanence comme la menace n°1 ciblant les applications Web . L'injection SQL peut avoir plusieurs types et l'un de ces types est l'injection SQL aveugle - dans cet article de blog, nous verrons à quel point une telle attaque peut être nocive.

Qu'est-ce que l'Injection SQL ? Quelles sont ses catégories ?

Comme nous vous l'avons déjà dit dans certains de nos articles de blog précédents , l'injection SQL est la principale attaque dirigée contre les bases de données - une application est vulnérable à l'injection SQL lorsqu'une entrée fournie par un utilisateur est transmise directement dans une base de données sans être nettoyée et correctement traité.

Les catégories d'injection SQL sont très importantes à comprendre pour deux raisons principales :

  • Différents types d'injection SQL ont un impact sur les applications Web de différentes manières.
  • Certains types d'injection SQL peuvent être plus facilement évités que d'autres.
  • Certains types d'injection SQL dépendent directement des fonctionnalités de nos applications Web (par exemple, les résultats d'une attaque par injection SQL aveugle réussie dépendent directement du fait que notre application Web affiche des erreurs ou non.)
  • Certains types d'attaques par injection SQL ont des sous-types (pensez à l'injection SQL aveugle basée sur le temps) - ces sous-types peuvent également faire ou défaire un accord pour une partie néfaste, car ils dépendent directement d'un facteur spécifique qui, dans ce cas, ne peuvent pas être contrôlés, et donc ils sont directement — temps.

L'injection SQL a deux catégories :

Comme vous pouvez le voir, il n'y a pas beaucoup de catégories dans lesquelles l'injection SQL tombe - cependant, alors que l'injection SQL classique est utilisée le plus fréquemment, lorsque les attaques par injection SQL classiques ne fonctionnent pas, les attaquants se tournent généralement vers le côté aveugle de SQL - ils essaient attaquer les applications avec une injection SQL aveugle.

Le royaume de l'injection SQL aveugle

Considérez votre application comme un château. Nous savons que cela peut sembler au moins un peu étrange, mais soyez patient. Maintenant, imaginez votre application Web comme un château. Fait? D'accord, imaginez qu'un groupe de soldats aveugles avec des lances l'attaquent et que leurs lances manquent fréquemment les défenses fortifiées du château. Que pensez-vous - combien de temps les soldats aveugles avec des lances doivent-ils consacrer pour en finir avec les défenses de votre château ? Cela prendra du temps, mais les soldats finiront par passer. C'est vrai - et une fois que les soldats sont passés, les trésors que vous stockez dans votre château (les données à l'intérieur de vos applications Web) sont des cactus - ils voleront tout.

Les soldats sont bien équipés, et même s'ils sont aveugles, ils finiront par perpétrer vos défenses - oh, non ! C'est à peu près comme ça que l'injection SQL aveugle fonctionne dans le monde réel, alors laissez-nous vous donner un autre exemple :

  1. Un attaquant trouve votre application Web vulnérable à une forme aveugle d'injection SQL en ajoutant un guillemet simple après un certain paramètre — votre application Web renvoie alors une erreur.
  2. Un attaquant continue de créer des requêtes SQL - aucune d'entre elles ne renvoie d'erreur. Cependant, il constate rapidement que s'il exécute un type de requête, les données à l'intérieur de votre application Web s'affichent à l'écran, après qu'il en exécute une autre — les données disparaissent. "Aha!", - pense l'attaquant. "Je t'ai eu. Vous avez une faille d'injection SQL aveugle.

Comme vous l'avez peut-être déjà remarqué, une injection SQL aveugle est une telle attaque qui pose des « questions » à la base de données sous forme de requêtes et tente de déterminer si elles sont vraies ou fausses en fonction de la réponse sur l'application Web. L'injection SQL aveugle est le plus souvent détectée en exécutant des requêtes telles que :

Si une application Web renvoie une réponse "positive" (ce qui signifie qu'elle renvoie une différence visible sur une page Web), l'application Web est susceptible d'une telle attaque, alors que si une application est indifférente, elle ne l'est probablement pas. Dans le premier scénario, l'attaquant saura que quelque chose ne va pas avec votre base de données et tentera de pénétrer encore plus loin vos défenses. Et ainsi le jeu commence - l'attaquant essaie de remarquer quel type de réponses votre application Web est prête à renvoyer. Une requête renvoie une page avec des résultats - OK, il sonde plus loin, une requête renvoie une page vierge - hmmm… il modifie la requête et essaie à nouveau. Et ainsi le jeu continue jusqu'à ce que toutes les données qui intéressent une partie infâme soient extraites de votre base de données. Oui, ce type de requête seraprendre beaucoup de temps (et c'est l'une des choses pour lesquelles l'injection SQL aveugle est surtout connue), mais gardez à l'esprit que le temps, aussi triste que cela puisse être, n'arrêtera probablement pas un attaquant qui a pour objectif de nuire à vos systèmes comme autant que possible ou voler toutes vos données.

Certaines applications Web peuvent même filtrer les parties des paramètres GET ou POST, ce qui signifie qu'elles peuvent "attraper" les guillemets simples ou doubles utilisés, mais ce n'est qu'une pièce du puzzle. Une telle fonction fait souvent partie d'une fonctionnalité de type pare-feu d'application Web - nous avons déjà discuté des WAF (abréviation de Web Application Firewalls) dans un autre de nos articles , nous n'entrerons donc pas trop dans les détails, mais gardez à l'esprit que Les pare-feu d'applications Web dévient toutes sortes d'attaques allant du déni de service à, vous l'aurez deviné, l'injection SQL. Vous pouvez trouver un exemple concret de pare-feu d'application Web en visitant le site Web de l'un des moteurs de recherche de violation de données les plus importants et les plus rapides au monde - BreachDirectory - mais pour l'instant, revenons au sujet.

Types d'injection SQL aveugle

Il existe deux types d'injection SQL aveugle - basée sur les booléens et basée sur le temps. L'injection SQL aveugle basée sur les booléens dépend de l'envoi d'une certaine requête SQL à la base de données pour déterminer si la requête renvoie un résultat TRUEou FALSEen examinant la réponse de l'application, tandis que l'injection SQL basée sur le temps dépend du temps - une requête sondant un l'application Web pour l'injection SQL basée sur le temps aveugle forcera la base de données à attendre quelques secondes avant de renvoyer une réponse, et si la réponse est renvoyée après le nombre exact de secondes spécifiées, l'attaquant pourra déterminer que l'application est sensible à l'injection SQL aveugle basée sur le temps. Voici quelques différences et similitudes clés entre les deux types :

Protection contre l'injection SQL aveugle

La protection contre un type aveugle d'injection SQL, contrairement à la croyance populaire, ne demande pas beaucoup de compétences ou d'efforts - elle peut être évitée en utilisant des mesures de sécurité de base. Oui, c'est aussi simple que ça ! Nous pouvons accomplir cela en utilisant des objets de données préparés (PDO) en PHP (ils divisent l'entrée fournie par l'utilisateur et le reste de la requête, donc tout type d'injection SQL n'est pas possible), en utilisant des solutions de test automatisées qui nous informent si ou non, notre application est sensible à SQLi, ou, bien sûr, en utilisant des contrôles de sécurité de liste blanche - nous, en tant que développeurs, devrions avoir l'habitude de filtrer et de nettoyer tous les types de paramètres qui interagissent d'une manière ou d'une autre avec nos données. Ce faisant, nous pouvons placer nos applications Web au niveau de sécurité supérieur, à la fois en les protégeant contre toutes sortes d'attaques par injection SQL et d'autres types de problèmes de sécurité.

Une fois que nous avons mis nos applications Web au niveau de sécurité supérieur, nous devons également prendre soin de la sécurité de nos propres comptes - nous pouvons lancer une recherche via BreachDirectory pour voir si l'un de nos comptes est à risque et agir selon les conseils donnés à nous. Une fois que nous aurons fait cela, nos comptes devraient également être sécurisés. Gagner - gagner !

Sommaire

L'injection SQL aveugle est un type d'injection SQL où un attaquant ne peut pas comprendre comment nos applications Web "pensent", donc à la place, ils doivent s'appuyer sur la sortie qu'une application Web nous donne ou compter sur le temps, selon la méthode (booléenne ou basé sur le temps) est en cours d'utilisation. Lorsqu'il s'appuie sur l'injection SQL basée sur les booléens, un attaquant compte sur le fait que l'application Web peut sembler différente de la normale, tandis qu'en utilisant l'injection SQL basée sur le temps, l'attaquant s'appuie fortement sur le temps.

Quel que soit le type d'injection SQL choisi par l'attaquant, aucun type ne fournit à l'attaquant un moyen rapide d'obtenir des données - un attaquant peut littéralement passer des heures, des jours, voire des mois à obtenir des données qui l'intéressent, mais une fois que le l'attaque est accomplie avec succès, elle sera généralement vendue sur le dark web pour des milliers de dollars à d'autres parties infâmes, et le cycle se poursuivra.

Pour vous protéger contre l'injection SQL aveugle, veillez à utiliser des pratiques de codage sécurisées, à ne pas transférer les entrées utilisateur directement dans une base de données et à affiner la manière dont les erreurs sont renvoyées dans vos applications Web.

De plus, assurez-vous d'effectuer une recherche dans les moteurs de recherche de violation de données connus tels que BreachDirectory pour vous assurer que vos données sont en sécurité de jour comme de nuit et jusqu'à la prochaine fois. A bientôt dans le prochain blog ! 

Source : https://betterprogramming.pub/blind-sql-injection-threat-or-childs-play-6080d955a933

#sql 

What is GEEK

Buddha Community

Comment Se Protéger Contre L'injection SQL Aveugle
Cayla  Erdman

Cayla Erdman

1594369800

Introduction to Structured Query Language SQL pdf

SQL stands for Structured Query Language. SQL is a scripting language expected to store, control, and inquiry information put away in social databases. The main manifestation of SQL showed up in 1974, when a gathering in IBM built up the principal model of a social database. The primary business social database was discharged by Relational Software later turning out to be Oracle.

Models for SQL exist. In any case, the SQL that can be utilized on every last one of the major RDBMS today is in various flavors. This is because of two reasons:

1. The SQL order standard is genuinely intricate, and it isn’t handy to actualize the whole standard.

2. Every database seller needs an approach to separate its item from others.

Right now, contrasts are noted where fitting.

#programming books #beginning sql pdf #commands sql #download free sql full book pdf #introduction to sql pdf #introduction to sql ppt #introduction to sql #practical sql pdf #sql commands pdf with examples free download #sql commands #sql free bool download #sql guide #sql language #sql pdf #sql ppt #sql programming language #sql tutorial for beginners #sql tutorial pdf #sql #structured query language pdf #structured query language ppt #structured query language

Cayla  Erdman

Cayla Erdman

1596441660

Welcome Back the T-SQL Debugger with SQL Complete – SQL Debugger

When you develop large chunks of T-SQL code with the help of the SQL Server Management Studio tool, it is essential to test the “Live” behavior of your code by making sure that each small piece of code works fine and being able to allocate any error message that may cause a failure within that code.

The easiest way to perform that would be to use the T-SQL debugger feature, which used to be built-in over the SQL Server Management Studio tool. But since the T-SQL debugger feature was removed completely from SQL Server Management Studio 18 and later editions, we need a replacement for that feature. This is because we cannot keep using the old versions of SSMS just to support the T-SQL Debugger feature without “enjoying” the new features and bug fixes that are released in the new SSMS versions.

If you plan to wait for SSMS to bring back the T-SQL Debugger feature, vote in the Put Debugger back into SSMS 18 to ask Microsoft to reintroduce it.

As for me, I searched for an alternative tool for a T-SQL Debugger SSMS built-in feature and found that Devart company rolled out a new T-SQL Debugger feature to version 6.4 of SQL – Complete tool. SQL Complete is an add-in for Visual Studio and SSMS that offers scripts autocompletion capabilities, which help develop and debug your SQL database project.

The SQL Debugger feature of SQL Complete allows you to check the execution of your scripts, procedures, functions, and triggers step by step by adding breakpoints to the lines where you plan to start, suspend, evaluate, step through, and then to continue the execution of your script.

You can download SQL Complete from the dbForge Download page and install it on your machine using a straight-forward installation wizard. The wizard will ask you to specify the installation path for the SQL Complete tool and the versions of SSMS and Visual Studio that you plan to install the SQL Complete on, as an add-in, from the versions that are installed on your machine, as shown below:

Once SQL Complete is fully installed on your machine, the dbForge SQL Complete installation wizard will notify you of whether the installation was completed successfully or the wizard faced any specific issue that you can troubleshoot and fix easily. If there are no issues, the wizard will provide you with an option to open the SSMS tool and start using the SQL Complete tool, as displayed below:

When you open SSMS, you will see a new “Debug” tools menu, under which you can navigate the SQL Debugger feature options. Besides, you will see a list of icons that will be used to control the debug mode of the T-SQL query at the leftmost side of the SSMS tool. If you cannot see the list, you can go to View -> Toolbars -> Debugger to make these icons visible.

During the debugging session, the SQL Debugger icons will be as follows:

The functionality of these icons within the SQL Debugger can be summarized as:

  • Adding Breakpoints to control the execution pause of the T-SQL script at a specific statement allows you to check the debugging information of the T-SQL statements such as the values for the parameters and the variables.
  • Step Into is “navigate” through the script statements one by one, allowing you to check how each statement behaves.
  • Step Over is “execute” a specific stored procedure if you are sure that it contains no error.
  • Step Out is “return” from the stored procedure, function, or trigger to the main debugging window.
  • Continue executing the script until reaching the next breakpoint.
  • Stop Debugging is “terminate” the debugging session.
  • Restart “stop and start” the current debugging session.

#sql server #sql #sql debugger #sql server #sql server stored procedure #ssms #t-sql queries

Cayla  Erdman

Cayla Erdman

1596448980

The Easy Guide on How to Use Subqueries in SQL Server

Let’s say the chief credit and collections officer asks you to list down the names of people, their unpaid balances per month, and the current running balance and wants you to import this data array into Excel. The purpose is to analyze the data and come up with an offer making payments lighter to mitigate the effects of the COVID19 pandemic.

Do you opt to use a query and a nested subquery or a join? What decision will you make?

SQL Subqueries – What Are They?

Before we do a deep dive into syntax, performance impact, and caveats, why not define a subquery first?

In the simplest terms, a subquery is a query within a query. While a query that embodies a subquery is the outer query, we refer to a subquery as the inner query or inner select. And parentheses enclose a subquery similar to the structure below:

SELECT 
 col1
,col2
,(subquery) as col3
FROM table1
[JOIN table2 ON table1.col1 = table2.col2]
WHERE col1 <operator> (subquery)

We are going to look upon the following points in this post:

  • SQL subquery syntax depending on different subquery types and operators.
  • When and in what sort of statements one can use a subquery.
  • Performance implications vs. JOINs.
  • Common caveats when using SQL subqueries.

As is customary, we provide examples and illustrations to enhance understanding. But bear in mind that the main focus of this post is on subqueries in SQL Server.

Now, let’s get started.

Make SQL Subqueries That Are Self-Contained or Correlated

For one thing, subqueries are categorized based on their dependency on the outer query.

Let me describe what a self-contained subquery is.

Self-contained subqueries (or sometimes referred to as non-correlated or simple subqueries) are independent of the tables in the outer query. Let me illustrate this:

-- Get sales orders of customers from Southwest United States 
-- (TerritoryID = 4)

USE [AdventureWorks]
GO
SELECT CustomerID, SalesOrderID
FROM Sales.SalesOrderHeader
WHERE CustomerID IN (SELECT [CustomerID]
                     FROM [AdventureWorks].[Sales].[Customer]
                     WHERE TerritoryID = 4)

As demonstrated in the above code, the subquery (enclosed in parentheses below) has no references to any column in the outer query. Additionally, you can highlight the subquery in SQL Server Management Studio and execute it without getting any runtime errors.

Which, in turn, leads to easier debugging of self-contained subqueries.

The next thing to consider is correlated subqueries. Compared to its self-contained counterpart, this one has at least one column being referenced from the outer query. To clarify, I will provide an example:

USE [AdventureWorks]
GO
SELECT DISTINCT a.LastName, a.FirstName, b.BusinessEntityID
FROM Person.Person AS p
JOIN HumanResources.Employee AS e ON p.BusinessEntityID = e.BusinessEntityID
WHERE 1262000.00 IN
    (SELECT [SalesQuota]
    FROM Sales.SalesPersonQuotaHistory spq
    WHERE p.BusinessEntityID = spq.BusinessEntityID)

Were you attentive enough to notice the reference to BusinessEntityID from the Person table? Well done!

Once a column from the outer query is referenced in the subquery, it becomes a correlated subquery. One more point to consider: if you highlight a subquery and execute it, an error will occur.

And yes, you are absolutely right: this makes correlated subqueries pretty harder to debug.

To make debugging possible, follow these steps:

  • isolate the subquery.
  • replace the reference to the outer query with a constant value.

Isolating the subquery for debugging will make it look like this:

SELECT [SalesQuota]
    FROM Sales.SalesPersonQuotaHistory spq
    WHERE spq.BusinessEntityID = <constant value>

Now, let’s dig a little deeper into the output of subqueries.

Make SQL Subqueries With 3 Possible Returned Values

Well, first, let’s think of what returned values can we expect from SQL subqueries.

In fact, there are 3 possible outcomes:

  • A single value
  • Multiple values
  • Whole tables

Single Value

Let’s start with single-valued output. This type of subquery can appear anywhere in the outer query where an expression is expected, like the WHERE clause.

-- Output a single value which is the maximum or last TransactionID
USE [AdventureWorks]
GO
SELECT TransactionID, ProductID, TransactionDate, Quantity
FROM Production.TransactionHistory
WHERE TransactionID = (SELECT MAX(t.TransactionID) 
                       FROM Production.TransactionHistory t)

When you use a MAX() function, you retrieve a single value. That’s exactly what happened to our subquery above. Using the equal (=) operator tells SQL Server that you expect a single value. Another thing: if the subquery returns multiple values using the equals (=) operator, you get an error, similar to the one below:

Msg 512, Level 16, State 1, Line 20
Subquery returned more than 1 value. This is not permitted when the subquery follows =, !=, <, <= , >, >= or when the subquery is used as an expression.

Multiple Values

Next, we examine the multi-valued output. This kind of subquery returns a list of values with a single column. Additionally, operators like IN and NOT IN will expect one or more values.

-- Output multiple values which is a list of customers with lastnames that --- start with 'I'

USE [AdventureWorks]
GO
SELECT [SalesOrderID], [OrderDate], [ShipDate], [CustomerID]
FROM Sales.SalesOrderHeader
WHERE [CustomerID] IN (SELECT c.[CustomerID] FROM Sales.Customer c
INNER JOIN Person.Person p ON c.PersonID = p.BusinessEntityID
WHERE p.lastname LIKE N'I%' AND p.PersonType='SC')

Whole Table Values

And last but not least, why not delve into whole table outputs.

-- Output a table of values based on sales orders
USE [AdventureWorks]
GO
SELECT [ShipYear],
COUNT(DISTINCT [CustomerID]) AS CustomerCount
FROM (SELECT YEAR([ShipDate]) AS [ShipYear], [CustomerID] 
      FROM Sales.SalesOrderHeader) AS Shipments
GROUP BY [ShipYear]
ORDER BY [ShipYear]

Have you noticed the FROM clause?

Instead of using a table, it used a subquery. This is called a derived table or a table subquery.

And now, let me present you some ground rules when using this sort of query:

  • All columns in the subquery should have unique names. Much like a physical table, a derived table should have unique column names.
  • ORDER BY is not allowed unless TOP is also specified. That’s because the derived table represents a relational table where rows have no defined order.

In this case, a derived table has the benefits of a physical table. That’s why in our example, we can use COUNT() in one of the columns of the derived table.

That’s about all regarding subquery outputs. But before we get any further, you may have noticed that the logic behind the example for multiple values and others as well can also be done using a JOIN.

-- Output multiple values which is a list of customers with lastnames that start with 'I'
USE [AdventureWorks]
GO
SELECT o.[SalesOrderID], o.[OrderDate], o.[ShipDate], o.[CustomerID]
FROM Sales.SalesOrderHeader o
INNER JOIN Sales.Customer c on o.CustomerID = c.CustomerID
INNER JOIN Person.Person p ON c.PersonID = p.BusinessEntityID
WHERE p.LastName LIKE N'I%' AND p.PersonType = 'SC'

In fact, the output will be the same. But which one performs better?

Before we get into that, let me tell you that I have dedicated a section to this hot topic. We’ll examine it with complete execution plans and have a look at illustrations.

So, bear with me for a moment. Let’s discuss another way to place your subqueries.

#sql server #sql query #sql server #sql subqueries #t-sql statements #sql

Ruth  Nabimanya

Ruth Nabimanya

1621850444

List of Available Database for Current User In SQL Server

Introduction

When working in the SQL Server, we may have to check some other databases other than the current one which we are working. In that scenario we may not be sure that does we have access to those Databases?. In this article we discuss the list of databases that are available for the current logged user in SQL Server

Get the list of database
Conclusion

#sql server #available databases for current user #check database has access #list of available database #sql #sql query #sql server database #sql tips #sql tips and tricks #tips

Introduction to Recursive CTE

This article will introduce the concept of SQL recursive. Recursive CTE is a really cool. We will see that it can often simplify our code, and avoid a cascade of SQL queries!

Why use a recursive CTE ?

The recursive queries are used to query hierarchical data. It avoids a cascade of SQL queries, you can only do one query to retrieve the hierarchical data.

What is recursive CTE ?

First, what is a CTE? A CTE (Common Table Expression) is a temporary named result set that you can reference within a SELECT, INSERT, UPDATE, or DELETE statement. For example, you can use CTE when, in a query, you will use the same subquery more than once.

A recursive CTE is one having a subquery that refers to its own name!

Recursive CTE is defined in the SQL standard.

How to make a recursive CTE?

A recursive CTE has this structure:

  • The WITH clause must begin with “WITH RECURSIVE”
  • The recursive CTE subquery has two parts, separated by “UNION [ALL]” or “UNION DISTINCT”:
  • The first part produces the initial row(s) for the CTE. This SELECT does not refer to the CTE name.
  • The second part recurses by referring to the CTE name in its FROM clause.

Practice / Example

In this example, we use hierarchical data. Each row can have zero or one parent. And it parent can also have a parent etc.

Create table test (id integer, parent_id integer);

insert into test (id, parent_id) values (1, null);

insert into test (id, parent_id) values (11, 1);
insert into test (id, parent_id) values (111, 11);

insert into test (id, parent_id) values (112, 11);

insert into test (id, parent_id) values (12, 1);

insert into test (id, parent_id) values (121, 12);

For example, the row with id 111 has as ancestors: 11 and 1.

Before knowing the recursive CTE, I was doing several queries to get all the ancestors of a row.

For example, to retrieve all the ancestors of the row with id 111.

While (has parent)

	Select id, parent_id from test where id = X

With recursive CTE, we can retrieve all ancestors of a row with only one SQL query :)

WITH RECURSIVE cte_test AS (
	SELECT id, parent_id FROM test WHERE id = 111
	UNION 
	SELECT test.id, test.parent_id FROM test JOIN cte_test ON cte_test.id = test.parent_id

) SELECT * FROM cte_test

Explanations:

  • “WITH RECURSIVE”:

It indicates we will make recursive

  • “SELECT id, parent_id FROM test WHERE id = 111”:

It is the initial query.

  • “UNION … JOIN cte_test” :

It is the recursive expression! We make a jointure with the current CTE!

Replay this example here

#sql #database #sql-server #sql-injection #writing-sql-queries #sql-beginner-tips #better-sql-querying-tips #sql-top-story