تزریق فرمان نیز یک نوع مسئله تزریق است. تزریق زمانی هک سایت با پایتون اتفاق می افتد که یک برنامه نتواند به درستی بین داده های کاربر نامعتبر و کد تمایز قائل شود. هنگامی که تزریق در دستورات سیستم عامل سیستم اتفاق می افتد، منجر به تزریق فرمان می شود. اما آسیب‌پذیری‌های تزریق به روش‌های دیگری نیز آشکار می‌شوند.
به عنوان مثال، در یک حمله تزریق SQL، مهاجم داده ها را برای دستکاری دستورات SQL تزریق می کند. هنگامی که برنامه به درستی ورودی کاربر را تأیید نمی کند، مهاجمان می توانند کاراکترهای مخصوص زبان SQL را وارد کنند تا منطق پرس و جو را به هم بزنند و در نتیجه کد SQL دلخواه را اجرا کنند. در اینجا درباره نحوه عملکرد این حملات تزریق SQL بیشتر بدانید.
تزریق SQL به کد مهاجم اجازه می دهد تا ساختار پرس و جوهای SQL برنامه شما را برای سرقت داده ها، اصلاح داده ها تغییر دهد. یا به طور بالقوه دستورات دلخواه را در سیستم عامل اصلی اجرا کنید. بهترین راه برای جلوگیری از تزریق SQL استفاده از عبارات پارامتری است که تزریق SQL را عملا غیرممکن می کند. در این مقاله با نحوه هک سایت با پایتون استفاده از دستورات پارامتری آشنا شوید.
پایگاه داده ها همیشه از SQL استفاده نمی کنند. پایگاه‌های داده NoSQL یا نه تنها پایگاه‌های داده SQL آنهایی هستند که از زبان SQL استفاده نمی‌کنند. تزریق NoSQL به حملاتی اشاره دارد که داده ها را به منطق این زبان های پایگاه داده تزریق می کنند. تزریق NoSQL می تواند به اندازه تزریق SQL جدی باشد: آنها می توانند به دور زدن احراز هویت و اجرای کد از راه دور منجر شوند.
پایگاه داده های مدرن NoSQL، مانند MongoDB، Couchbase، Cassandra و HBase، همگی در برابر حملات تزریق آسیب پذیر هستند. نحو پرس و جو NoSQL مختص پایگاه داده است و پرس و جوها اغلب به زبان برنامه نویسی برنامه نوشته می شوند. به همین دلیل، روش های جلوگیری از تزریق NoSQL در هر پایگاه داده نیز مختص پایگاه داده است. هک سایت با پایتون در اینجا می توانید نحوه جلوگیری از تزریق NoSQL در MongoDB، Couchbase، Cassandra و HBase را بیاموزید.
پروتکل دسترسی به دایرکتوری سبک وزن (LDAP) راهی برای پرس ایرانیان سایبر و جو از یک سرویس دایرکتوری در مورد کاربران و دستگاه های سیستم است. به عنوان مثال، برای پرس و جو از Active Directory مایکروسافت استفاده می شود. هنگامی که یک برنامه از ورودی نامعتبر در جستارهای LDAP استفاده می کند، مهاجمان می توانند ورودی های دستکاری شده ای را ارسال کنند که باعث اثرات مخرب می شود. با استفاده از تزریق LDAP، مهاجمان می توانند احراز هویت را دور بزنند و داده های ذخیره شده در فهرست را به هم بزنند. برای جلوگیری از تزریق LDAP می توانید از پرس و جوهای پارامتری استفاده کنید. دریابید که تزریق LDAP چگونه کار می کند و چگونه از آنها جلوگیری کنید.
احتمالاً برای نظارت بر فعالیت های مخربی که در شبکه شما انجام می شود، ثبت سیستم را انجام می دهید. اما آیا تا به حال به این فکر کرده اید که ورودی های فایل لاگ شما ممکن است به شما دروغ بگوید؟ فایل‌های گزارش، مانند سایر فایل‌های سیستم، ممکن است توسط عوامل مخرب دستکاری شوند. مهاجمان اغلب فایل‌های گزارش را تغییر می‌دهند تا مسیرهای خود را در طول حمله بپوشانند. تزریق لاگ یکی از راه هایی است که مهاجمان می توانند فایل های لاگ شما را تغییر دهند. زمانی اتفاق هک سایت با پایتون می‌افتد که مهاجم برنامه را فریب می‌دهد تا ورودی‌های جعلی را در فایل‌های گزارش شما بنویسد.
تزریق گزارش اغلب زمانی اتفاق می‌افتد که برنامه کاراکترهای خط جدید "\n" را در ورودی نوشته شده در گزارش‌ها پاکسازی نمی‌کند. مهاجمان می توانند از کاراکتر خط جدید برای درج ورودی های جدید در گزارش های برنامه استفاده کنند. راه دیگری که مهاجمان می‌توانند از ورودی کاربر در گزارش‌ها سوء استفاده کنند این است که می‌توانند HTML مخرب را به ورودی‌های گزارش تزریق کنند تا سعی کنند یک XSS را در مرورگر مدیری که گزارش‌ها را مشاهده می‌کند، راه‌اندازی کنند.
برای جلوگیری از حملات تزریق لاگ، به روشی نیاز دارید تا بین ورودی های گزارش واقعی و ورودی های لاگ جعلی تزریق شده توسط مهاجم تمایز قائل شوید. یکی از راه‌های انجام این کار، قرار دادن پیشوند هر ورودی گزارش با متا داده اضافی مانند مهر زمان، شناسه پردازش و نام میزبان است. همچنین باید محتویات فایل‌های گزارش را به‌عنوان ورودی غیرقابل اعتماد در نظر بگیرید و قبل از دسترسی به آن یا استفاده از آن، آن را تأیید کنید.
بسیاری از برنامه های کاربردی وب بر اساس عملکرد کاربران برای آنها ایمیل ارسال می کنند. به عنوان مثال، اگر در یک فید در یک رسانه خبری مشترک شده باشید، وب سایت ممکن است یک تأییدیه با نام فید برای شما ارسال کند.
تزریق ایمیل زمانی اتفاق می‌افتد که برنامه از ورودی کاربر استفاده می‌کند هک با پایتون تا تعیین کند به کدام آدرس ایمیل ارسال کند. این می‌تواند به هرزنامه‌ها اجازه دهد تا از سرور شما برای ارسال ایمیل‌های انبوه به کاربران استفاده کنند یا به کلاهبرداران اجازه دهد تا