1 пост-ответ
раскрыть ветку (53)
раскрыть ветку (7)
раскрыть ветку (6)
Так, я не понял. Вкололи вакцину с SQL. Команда дроп тейбл сама выполнилась? В какой момент запустилась. Почему не сразу? При чем тут home? Где юмор блеать?
раскрыть ветку (2)
Инъекция выполнила команду, и дома он это обнаружил. Почему дома? хз, можно считать, что дом - это base, и там грохнули table
раскрыть ветку (1)
раскрыть ветку (44)
Какая нужна предыстория? Прикол в том, чтобы вывести из строя систему автораспознавания номеров
раскрыть ветку (20)
раскрыть ветку (18)
раскрыть ветку (15)
Вряд-ли в камере есть база. База на сервере, куда номер попадет в виде текста с распознанной картинки. В теории, компьютеру насрать, какой там текст и, вероятно, защиты от SQL injection, в данном случае, нет никакой (т.е. не предполагается доступ сторонний извне системы).
Допускаю, что базу таки потрепать можно, зная ее структуру и способ атаки.
Скажем так, сайты, которые ломались подобным способом через форму для отправки отзыва, я видел
раскрыть ветку (14)
защиты от SQL injection, в данном случае, нет никакой (т.е. не предполагается доступ сторонний извне системы).Вот такие предположения и ведут к факапам. Защита от sql injection должна быть всегда!
раскрыть ветку (10)
Да ладно, в нормальных языках в современных фреймфорках она встроена по умолчанию. Даже с сильным желанием не получится вызывать селект с какой-то ебаниной
раскрыть ветку (9)
Все просто, у данного логина, под которым идёт коннект, нет прав(грантов) на удаление данных или изменение структуры бд. И все.
раскрыть ветку (6)
Крайне сомневаюсь, что даже в +- больших проектах сильно заморачиваться на этот счёт, чтоб под делать апдейт под одним, а селект под другим
раскрыть ветку (5)
В больших проектах если твой проект работает из под околорутового пользователя на продакшене — то ты банально не пройдёшь sec validation, да и на продакшн базе тебе такое сделать не дадут. Придет DBA и популярно расскажет почему так делать нельзя.
Только начал осваивать программирование и вопрос: а хранимые процедуры разве не защищают от такой фигни, выражение не будет распознаваться как команда?
раскрыть ветку (1)
Значит вы далеки от такой разработки. К примеру в оракле команда drop относится к ddl, и права как правило на ddl есть только dba и лиц отвечающих за релизы. Также роли на чтение и изменение данных тоже всегда разносятся(тот, кому достаточно только читать данные, не должен иметь других прав). А вообще в запросах должна быть валидация параметров и переменные должны биндится, а не подставляться через конкатенацию.
раскрыть ветку (1)
Фреймворки тут не нужны, prepared statement механизм встроен в реляционные БД по умолчанию.
Ох сколько раз я видел тупо сложение строк для формирования запроса... И вроде все такие современные ;)
Валидация должна быть по формату, тупо поле не иметь такой размереости, ну и экранировать в текст
через форму для отправки отзываЭто нужно чтобы форма отправки не записывалась в базу, а обрабатывалась как код на сервере.
Каким... умным.... надо быть, чтобы такое сделать?
раскрыть ветку (1)
Вопрос не ко мне, я не программист. Разгребал ситуацию, когда инъекцией сайт сломали, попутно смотрел ютубы и читал, как это бывает вообще
уже нет.
раньше было возможно,
софт камеры распознавал строку, а дальше обрабатывал как строку, распознавал команду и дропал базу.
и судя по посту, сейчас это возможность кое-где еще остается
раскрыть ветку (22)
Можно пояснительную бригаду по картинке? Чё написано на табло? Про текст на бампере все понятно.
раскрыть ветку (21)
Как уже выше и ниже поясняли — на фото случилась SQL инъекция, алгоритм распознавания номеров и ввода полученных данных не был защищен, т.к. программисты сочли что и так сойдет, а вот не сошло и этой уязвимостью ввода данных по приколу на машине кто-то и воспользовался, чтобы стереть все распознанные данные с помощью SQL-команды. Нет данных - нет штрафов. На баннере, вероятно, отображение ошибки в базе после инъекции.
раскрыть ветку (20)
Но ведь распознаватель заточен под конкретный набор знаков в определенной последовательности. Он либо не распознает это как номер, либо прочитает криво. Чёто это как-то неправдоподобно.
раскрыть ветку (16)
Не думаю.
Во-первых есть номера других стран, во вторых, в некоторых странах есть именные номера. Как минимум, хотя бы по этой причине, надо распознавать все.
Рамка номера может быть выше, ниже, слева, справа. Скорее всего, распознаётся контрастный участок с символами определенного шрифта, чтоб не читать всякие наклейки и аэрографии
Ну и, как писали выше, и так сойдёт - никто ж из программистов не предполагал, что это можно провернуть извне, т.к. доступ к базе закрыт.
Другой вопрос, что надо знать структуру базы, как минимум, чтобы такое провернуть.
Поэтому 50/50.
раскрыть ветку (6)
Распознаватель не будет искать в базе последовательность длиннее, чем предполагает номерной знак. Можно настроить на номера разных стран, у них тоже есть свои параметры. Но не предложение из нескольких слов со знаками пунктуации.
раскрыть ветку (1)
Да тупо БД нихуя не сделает, если в одном из параметров селекта будет дроп таблицы. Никто уже 100 лет как не конкатинирует запросы руками. Если так и делают, то сами напросились. Картинка не более, чем прикол ради прикола.
Да бред бредовый. Для распознавания номеров тренируются сети на датасетах этих самых номеров. Во первых такую картинку сеть даже не распознает как номер, во вторых, даже если произойдет чудо, не пройдет проверка на постпроцессе (длина текста, набор символов, допустимые знаки) и в третьих значение в запрос попадает как параметр. Хоть X Y N вы там напишите, как ddl запрос это проканает.
раскрыть ветку (1)
Не исключай индусский код, иногда дыры бывают настолько очевидными, что удивляешься, как это вообще возможно...
Я так в 2010-2011 году в украинском ПриватБанке премию получил за обнаружение тупейшей уязвимости в терминалах. До сих пор письма на мыле храню, как память)
Ну распознаётся и распознаётся. Но либы, которые взаимодействуют с базой на автомате, существуют последние лет 10-15.
Команде 'insert into *xxx* values (..., "Drop table", ...)' будет совершенно похуй что какая там sql инъекция
раскрыть ветку (1)
Хз, про какие либы идёт речь и про какую ситуацию. Сайт на пхп вскрывали (не самописный) через инъекцию, потому как автор доработки под него не сделал валидацию типа данных и вместо int можно было передавать запросом все.
И я хз, какой там механизм работы каких-то библиотек - я уже разгребал последствия. П.С. вообще не программист.
Зависит уже от кривоты познаний программиста.
Если распознавание было настроено на специфичные области у машин, ориентировалось по контрасту или просто считывали все что считает буквами, то могло и в базу вредоносную команду занести.
Что нашлось, тем и делюсь, проводить расследование этого инцидента на фейковость желанием не горю.
Если распознавание было настроено на специфичные области у машин, ориентировалось по контрасту или просто считывали все что считает буквами, то могло и в базу вредоносную команду занести.
Что нашлось, тем и делюсь, проводить расследование этого инцидента на фейковость желанием не горю.
раскрыть ветку (7)
Да я и не прошу. Просто по опыту могу сказать, что распознаватель сравнивает с базой уже сам распознанный номер. Даже если написать тем же шрифтом длинную надпись, то он либо не распознает совсем, либо попытается вырвать определённое количество знаков, которые ему могут показаться номером. При настройке указывается соотношение сторон номерной пластины, максимальный и минимальный размер в пикселях на кадре.
раскрыть ветку (6)
Хоть раньше и кодил, но в бд маловато за ненадобностью и все же не понятен механизм. Если считываются данные для распознания то их обработчик что ли гоняет по различным методам в которые включается не просто распознание и сравнение , но и запуск ? По мне кривое решение, хотя в чем то может и есть универсальность.
раскрыть ветку (5)
раскрыть ветку (4)
Иерархично отдельно, но взаимодействуют же. Получается снимок(или ряд снимков) по определенным шаблонам, примитивно говоря с условиями прямоугольника и определенными атрибутами, распознаются к примеру OCR-подобными библиотеками и прогоняются по базе на совпадения. Механизм управления базой по принятым сообщениям из полученных данных мне не понятен, почему и спросил на счет универсальности обработчика.
раскрыть ветку (3)
Она отдельна конструктивно. Бд может и не быть, а распознаватель будет выдавать результаты. Хочешь сравнить с базой или сохранить, пожалуйста.
раскрыть ветку (2)
Ну понятно, камера ведет, обрабатывает на местном уровне все условия, что попало в нужные условия улетело на сервак для дальнейшей пост обработки. Просто интересовало на счет обработчика который инфу может как sql воспринимать. А то что бд может не быть, так и штрафов не будет, или ручная работа в отделе по снятым фоткам и опять же к бд)
раскрыть ветку (1)
Я все к тому, что написать на бампере какую то команду и ждать что она пройдет в бд это далеко от реальности. По крайней мере от отечественной
Никакой инъекции не случилось, на фото табло работает штатно, просто прикол (смешной, да).
Ну и про штрафы вообще не в тему, такие табло не штрафуют, а просто предупреждают.
раскрыть ветку (1)
Интересное замечание, если фейк то пусть и фейк, гипотетически ситуация с фото всё-равно забавна.
В конце-концов я совсем и не программист, так что и неправдоподобная ересь могла быть добавлена в сохраненки, чтоб потом умничать не разбираясь, что ж поделать, ехехех
В конце-концов я совсем и не программист, так что и неправдоподобная ересь могла быть добавлена в сохраненки, чтоб потом умничать не разбираясь, что ж поделать, ехехех