 Your new post is loading...
Your new post is loading...
Scoop.it!
MySQL Connect is the MySQL conference bringing together Oracle's MySQL experts and the MySQL community Via THE OFFICIAL ANDREASCY 
No comment yet.
Sign up to comment
Scoop.it!
Ces dernières années, avec l'explosion du web dynamique et les avancées liées à la programmation objet, on a vu se développer des systèmes permettant de faire des liens plus ou
Mickael Ruau's insight:
Contrairement à l'approche de certains, je ne considère pas les ORM comme un mal nécessaire. Il existe d'ailleurs des développeurs qui sont d'accord avec moi sur ce point. Quel solution est-ce que je préconise pour éviter le recours à un ORM ? En fait, aucune. Plus exactement, et puisque je considère que la construction d'abstractions orientées métier est indépendante de la façon dont les données métier peuvent être agencées, je préconise tout simplement l'utilisation d'une approche orientée données pour tout ce qui est du lien avec la base de donnée - c'est à dire que vous écrivez la requête, et vous rangez le résultat de celle-ci comme vous le souhaitez. Le tout sans chichi, sans surcouche inutile, et en acceptant l'idée que vous puissiez manipuler des tables de données. Une approche tout ce qu'il y a de plus naturelle en somme. Le plus étonnant restant que cette approche naturelle est bien souvent plus simple et plus rapide à mettre en oeuvre et à déboguer[6], qu'elle offre des performances bien souvent meilleures, et qu'elle ne pourrit pas l'architecture de l'application. En somme, encore un exemple de ce que nous autres, entre gens du monde, appelons le DTST.
Scoop.it!
Join me Wednesday, September 18 at 10 a.m. PDT for an hour-long webinar where I will introduce the basic concepts behind column store technology. The webinar’s title is: “Introduction to open source column stores.”What will be discussed?
Scoop.it!
Attack strings and commands as well as default usernames and passwords for the five common databases for easy discovery of SQL Injection and Blind SQL Injection vulnerabilities.
Scoop.it!
SQLMap est un outil permettant d'effectuer des requêtes SQL de manières automatisées dans le but de trouver et d'exploiter une mauvaise configuration sur
Scoop.it!
GreenSQL est un pare-feu SQL - il se situe entre votre site Web et la base de données MySQL et décide quelle sont les requête SQL qui ne doivent pas être exécuté
Scoop.it!
Lors d’audits il arrive de trouver des injections SQL un peu différentes du simple SELECT habituel. L’une des injections pouvant perturber un auditeur « débutant » est celle dans une procédure stockée. En effet cette injection change totalement la forme courante de la requête, nous allons donc l’étudier au travers de trois bases de données assez récurrentes, MySQL, Oracle et MsSQL.
Scoop.it!
A complete reference about SQL injection. Introduction, tutorial, advanced attack techniques, how to avoid it, resources and much more!
Mickael Ruau's insight:
You want to apply what you learned on this website? We provide a free simulation environment for you to pratice SQL injection attacks.
Deploying this simulation environment on your computer will not put your system at risk and it does not require particular skills. You should be able to set it up within a few minutes!
To learn more refer to the SQL injection testing environmentsection.
Scoop.it!
Une fois que le pirate a obtenu l'accès direct à votre base de données (en contournant le serveur web), les données sensibles, stockées dans votre base sont accessibles directement, à moins que les données de la base ne soient protégées par la base. Chiffrer les données est une bonne solution pour réduire cette menace, mais très peu de bases de données offrent ce type de chiffrement.
Mickael Ruau's insight:
PHP peut vous aider dans cette tâche grâce aux nombreuses extensions dont il dispose, comme Mcrypt et Mhash, qui connaissent un large éventail de méthodes de chiffrement. Le script PHP va chiffrer les données qui seront stockées, et les déchiffrer lorsqu'elles seront relues. Voyez la suite pour des exemples d'utilisation de ce chiffrement. Dans le cas de données vraiment sensibles, si la représentation originale n'est pas nécessaire (pour affichage, ou comparaison), utiliser un hash est une bonne solution. L'exemple classique est le stockage de mots de passe dans les bases de données, après les avoir passés au en hashage de cryptage. Voyez la fonction crypt().
Scoop.it!
De nombreux développeurs web ne sont pas conscients des possibilités de manipulation des requêtes SQL, et supposent que les requêtes SQL sont des commandes sûres. Cela signifie qu'une requête SQL est capable de contourner les contrôles et vérifications, comme les identifications, et parfois, les requêtes SQL ont accès aux commandes d'administration. L'injection SQL directe est une technique où un pirate modifie une requête SQL existante pour afficher des données cachées, ou pour écraser des valeurs importantes, ou encore exécuter des commandes dangereuses pour la base. Cela se fait lorsque l'application prend les données envoyées par l'internaute, et l'utilise directement pour construire une requête SQL. Les exemples ci-dessous sont basés sur une histoire vraie, malheureusement. Avec le manque de vérification des données de l'internaute et la connexion au serveur avec des droits de super utilisateur, le pirate peut créer des utilisateurs, et créer un autre super utilisateur.
Scoop.it!
This article is focused on providing clear, simple, actionable guidance for preventing SQL Injection flaws in your applications. SQL Injection attacks are unfortunately very common, and this is due to two factors: the significant prevalence of SQL Injection vulnerabilities, andthe attractiveness of the target (i.e., the database typically contains all the interesting/critical data for your application).It’s somewhat shameful that there are so many successful SQL Injection attacks occurring, because it is EXTREMELY simple to avoid SQL Injection vulnerabilities in your code.
Mickael Ruau's insight:
This article provides a set of simple techniques for preventing SQL Injection vulnerabilities by avoiding these two problems. These techniques can be used with practically any kind of programming language with any type of database. There are other types of databases, like XML databases, which can have similar problems (e.g., XPath and XQuery injection) and these techniques can be used to protect them as well. Primary Defenses: Option #1: Use of Prepared Statements (Parameterized Queries)Option #2: Use of Stored ProceduresOption #3: Escaping all User Supplied InputAdditional Defenses: Also Enforce: Least PrivilegeAlso Perform: White List Input Validation
Scoop.it!
This cheat sheet provides pre-made, working attack strings for the three SQL injection types, union, error based and inferential in MySQL syntax.
Mickael Ruau's insight:
There are lot of excellent SQL injection cheat sheets out there; however, I found the majority provide only the components of a SQL injection rather an entire, working string. As a result, successfully putting a valid query together can take some trial and error and waste precious time. I have thus attempted to create a list of pre-made strings for each type of SQL injection so that they can simply be pasted in with little modification.
As SQL injections can loosely be grouped into three categories, union based, error based (XPath and double query) and inferential (time based and boolean), I have listed them as such. Below you will find MySQL specific syntax whilst I will post my MSSQL cheat sheet shortly.
|
Scoop.it!
SolrCloud est un mode de fonctionnement particulier de Solr 4.x qui permet de distribuer les éléments du moteur Solr au travers de différents noeuds physiques (de différentes instances Solr installées sur des serveurs distincts). Le but de cette distribution est d’obtenir une solution performante, hautement disponible et évolutive. Pour rappel, Solr 4.x peut toujours comme dans ses versions précédentes fonctionner sans mettre en oeuvre SolrCloud.
Mickael Ruau's insight:
Solarium “la librairie” PHP pour Solr ne dispose pas encore de mécanisme particulier pour exploiter SolrCloud en terme de load balancing et fail-over. Le mieux est d’utiliser une solution intermédiaire soft ou hard si on ne veut pas gérer cela dans le code PHP de l’application
Scoop.it!
Being able to configure slaves to be crash-safe is one of the major improvements of MySQL 5.6 with regards to replication. However we noticed confusion on how to enable this feature correctly, so let’s clarify how it should be done.In short1.
Scoop.it!
Avec l'arrivée des frameworks php, nous avons appris à évoluer entre ces nouveaux acronymes: MVC, DAO, DRY et ORM
Scoop.it!
Dans la continuité du billet de Jean-François Audenard sur le cancer de la non-sécurité au quotidien :
Scoop.it!
This post is part of a series of SQL Injection Cheat Sheets. In this series, I’ve endevoured to tabulate the data to make it easier to read and to use the same table for for each database backend. This helps to highlight any features which are lacking for each database, and enumeration techniques that don’t apply and also areas that I haven’t got round to researching yet.
Scoop.it!
Non, ce n'est pas mon chien qui vous parle, rappelez vous, lui, c'est
Mickael Ruau's insight:
D'où la nécessité de protéger l'application. Or, il existe une méthode pour sécuriser celle-ci : la programmation sécurisée. Et c'est la seule méthode, connue de tout le monde, mais que personne n'applique réellement. Alors que faire, se taper la tête contre les murs, et attendre que cela passe... C'est une méthode qui peut faire un peu mal... Une autre existe, un peu plus indolore, le WAF, ou plutôt le Web Application Firewall, puisque maintenant la plupart des applications sont en mode WEB ou en passe de l'être. Mais, il faut se méfier, il y a WAF et WAF. Il y deux chemins, jeune scarabée pour atteindre la sécurité des applications.
Scoop.it!
Ci dessous la liste de 10 outils pour la détection et l’exploitation d’injection SQL , dans un prochain article je ferai un tutorial de l’outil Absinthe.
Scoop.it!
Au cours de ma veille quotidienne, je suis tombé sur cet article de Gunter Ollmann qui fait un retour sur les dangers des injections SQL appliquées au monde physique.
Scoop.it!
Si au petit-déj, vous aimez manger des injections SQL, voici un petit outil qui va vous permettre de tester votre site afin de voir si celui-ci est
Mickael Ruau's insight:
Cet outil, c'est The Mole. C'est tout en ligne de commande pour les barbus et ça permet simplement à partir d'une URL contenant une chaine de caractère valide, de voir s'il est possible d'y injecter du SQL.
Scoop.it!
Les applications ne doivent jamais se connecter au serveur de bases de données sous le nom du propriétaire ou de l'administrateur, car ces utilisateurs ont des droits très importants, et pourront exécuter n'importe quelle requête, comme la modification de tables, l'effacement de lignes ou même encore, la destruction de la base. Vous pouvez créer différents utilisateurs de bases de données pour chaque aspect de votre application, avec des droits limités aux seules actions planifiées. Il faut alors éviter que le même utilisateur dispose des droits de plusieurs cas d'utilisation. Cela permet que si des intrus obtiennent l'accès à la base avec l'un de ces jeux de droits, ils ne puissent pas affecter toute l'application.
Mickael Ruau's insight:
Il est recommandé de ne pas implémenter toute la logique fonctionnelle dans l'application web (c'est-à-dire dans vos scripts), mais d'en reporter une partie dans la base en utilisant les déclencheurs, vues et règles. Si le système évolue, les nouvelles versions vous feront réécrire toute la logique et donc tous vos scripts. De plus, l'utilisation de déclencheurs permet de gérer de manière transparente des données, et fournit des indications pour déboguer votre application.
Scoop.it!
SQL Injection occurs when data input for example by a user is interpreted as a SQL command rather than normal data by the backend database.
|
