 Your new post is loading...
Your new post is loading...
Scoop.it!
Ce document recense de manière synthétique et la plus complète possible, l’ensemble des vecteurs d’attaque pour des injections SQL (SQLi & BSQLi) ciblant les bases de données MySQL. Toutes les syntaxes, requêtes, codes sources, PoC et exemples ont été testés et validés pour la production de cette synthèse. 
No comment yet.
Sign up to comment
Scoop.it!
0- Table de matières : 1- Introduction
Scoop.it!
Avis d'expert, Laurent Fanichet, Quantum. Après la critique du RAID, il nous invite à partager sa vision du stockage objets.
Mickael Ruau's insight:
Les algorithmes utilisant des codes à effacement qui distribuent les données pour les protéger simplifient également la migration vers les nouvelles technologies de stockage. Le remplacement des disques par les administrateurs est très simple et le stockage objets redistribue automatiquement les données sans interruption de l’accès utilisateur. Une dispersion géographique aisée Les codes pouvant être répartis sans réplication entre des sites dispersés géographiquement, le codage à effacement assure une protection contre les pannes affectant un disque, un nœud, voire un site complet, sur un seul système évolutif, contrairement à la technologie RAID.
Scoop.it!
Three Handy MySQL Numerical Functions
Scoop.it!
Now with summer winding down and school back in session, we get into a very busy time with many great opportunities to discover more about MySQL with several excellent MySQL events.
Scoop.it!
Il y a trois sortes de mensonges : les mensonges, les sacrés mensonges et les statistiques.(Mark Twain)
Mickael Ruau's insight:
Vous avez peut-être une vision des statistiques qui date de la terminale : on remplit des tableaux, on fait des moyennes, on calcule des écarts-type... Bref, ça sert à résumer des tonnes de chiffres en quelques valeurs synthétiques et quelques histogrammes.
Scoop.it!
This post is a continuation of my research of TokuDB’s storage engine to understand if it is suitable for timeseries workloads.
Scoop.it!
3. Creating users Here we will be using sha1 password.
Scoop.it!
L'authentification est un processus qui vous permet de vérifier qu'une personne est bien celle qu'elle prétend être. L'autorisation est un processus qui permet à une personne d'aller là où elle veut aller, ou d'obtenir les informations qu'elle désire.
Mickael Ruau's insight:
Depuis l'arrivée des nouvelles architecture d'autorisation et d'authentification basées sur les fournisseurs, vous n'êtes plus limité à une méthode d'authentification et d'autorisation unique. En fait, on peut panacher autant de fournisseurs que l'on veut, ce qui vous permet d'élaborer l'architecture qui correspond exactement à vos besoins. Dans l'exemple suivant, on utilise conjointement les fournisseurs d'authentification file et LDAP :
Scoop.it!
Mickael Ruau's insight:
Le module d’authentification avec MySQL permet d’obtenir les paramètres d’authentification à partir d’une base MySQL. Pour cela il faut : Mettre en place le module mod_auth_mysqlCréer les informations nécessaires dans une base MySQLSpécifier les pages que l’on veut protéger.
Scoop.it!
Pour cela, le module authentification mySQL est nécessaire pour Apache2 (Le module WebDav est déjà inclu dans apache2). Authentification mySQL pour Webdav.
Scoop.it!
Que se cache t'il derrière le terme de SQL injection ? Le langage SQL, Structured Query Language, est le langage standardisé d'interrogation des bases de données. Les techniques d'injection SQL consistent à introduire du code supplémentaire dans une requête SQL. Elles permettent à un utilisateur malveillant de récupérer des données de manière illégitime ou de prendre le contrôle du système. Alors que les problèmes de sécurité réseau ou système sont plutôt bien connus, que les règles de filtrage réseau sont plus strictes que par le passé, que l'application rapide des correctifs de sécurité pallie aux vulnérabilités systèmes, la sécurité des applicatifs est souvent négligée. Le contexte des injections SQL est très varié, il concerne toutes les applications utilisant une base SQL. On retrouve aussi bien les applications Web que les clients lourds. Identifier et exploiter une faille peut être assez simple si l'application retourne des messages d'erreurs spécifiques mais peut être complexe en l'absence de message. On parle alors d'exploitation en aveugle. Enfin, on retrouve des applications n'effectuant aucun contrôle ou très peu sur les données entrées tandis que d'autres les filtrent efficacement. C'est un aperçu de cette richesse que va tenter de vous donner cet article.
Scoop.it!
La gestion des utilisateurs permet : de mettre en place un contrôle d'accès, c'est-à-dire déterminer si un utilisateur a le droit de se connecter à un serveur MySQL,si l'utilisateur a le droit de se connecter, déterminer ce qu'il peut y faire.Le système de contrôle d'accès MySQL est spécifique par rapport à la norme SQL. Il lui manque la gestion des rôles mais ce contrôle distingue les utilisateurs selon l'endroit d'où ils se connectent. Il existe deux phases du contrôle d'accès : la connexion au serveur,la vérification des privilèges.
Mickael Ruau's insight:
Comme MySQL vérifie le mot de passe et les privilèges selon la machine de son client, l'architecture 3-tier a pour conséquence que les internautes sont toujours considérés comme hébergés par le serveur d'application.
Autrement dit, quand un lecteur consulte le catalogue de la bibliothèque de chez lui, MySQL le considère comme lecteur@serveurdappli et non lecteur@ordiperso, ni lecteur@fournisseurdacces. Cela permet à MySQL de reconnaître les utilisateurs qui passent par l'interface web (ou du moins par le serveur web) de ceux qui tenteraient une connexion directe. L'administrateur peut ainsi accorder ou refuser les privilèges en connaissance de cause.
Pour que PHP puisse se connecter à MySQL de manière sécurisée, le développeur PHP et l'administrateur MySQL doivent choisir entre deux méthodes d'accès : Si le site web ne demande pas aux internautes de s'identifier, ou s'ils doivent de toute façon avoir tous des privilèges identiques, on créera et on utilisera un compte générique comme siteweb@serveurdappli.Si les internautes doivent s'identifier, et s'ils reçoivent des privilèges différents selon cette identification, on pourra connecter le moteur PHP en relayant leur nom et mot de passe auprès de MySQL. Cela donnera des comptes individuels comme tartempion@serveurdappli.La seconde méthode suppose une gestion plus lourde, utilisateur par utilisateur. Elle évite par contre de devoir conserver un mot de passe MySQL sur le serveur PHP, puisque ce sont les utilisateurs qui vont, à chaque fois, fournir leur mot de passe.
La première méthode, dite du compte applicatif, permet de ne gérer qu'un seul compte, mais demande des précautions particulières quand au stockage et à l'utilisation des informations de connexion (nom du compte, mot passe associé, nom du serveur de données et nom de la base de données).
C'est cette méthode qui est utilisée par beaucoup d'hébergeurs en « mutualisé » où, en théorie pure, seul le mot de passe d'accès MySQL est indispensable, par exemple chez free.fr. Voir en (3) pourquoi il faut éviter de ne mettre que le mot de passe dans la configuration d'accès à MySQL.
|
Scoop.it!
Ce papier décrit brièvement des injections SQL particulières sans aller dans les détails ni sans expliquer les principes généraux de l'attaque par SQL injection. Ainsi, pour l'aborder, je vous conseil vivement de connaître php/MySQL ainsi que les attaques par SQL injection.
Scoop.it!
Table des matières :
Scoop.it!
The other day I was running pt-duplicate-key-checker on behalf of a customer and noticed some peculiar recommendations on an InnoDB table with an odd structure (no PRIMARY key, but multiple UNIQUE constraints).
Scoop.it!
On Thursday 12th September I’ll be co-presenting a free webinar on how MySQL Cluster delivers the key benefits of NoSQL Data Stores without having to give up the features that people rely on from relational databases (consistency, SQL etc.). There will be particular focus on how to use the new node.js JavaScript API which was recently released as part of MySQL Cluster 7.3. As usual the webinar is free but you should register in advance here. Via Monitis
Scoop.it!
Actuate organise une Journée BIRT le 19 septembre à Toulouse pour apprendre à construire des applications de Data Visualisation Riches et Interactives Il s'agit d'une journée de formation gratuite avec des démos et des ateliers pour apprendre à...
Scoop.it!
Hier pendant mes aventures extra conjugales avec MySQL, j'ai trouvé une petite astuce qui permet d'extraire une base précise d'un fichier de dump qui contient toutes les bases de votre serveur (le fameux all-databases).
Scoop.it!
Bien que MySQL soit un serveur de bases de données généralement rapide et performant, il y a toutefois quelques paramètres de configuration qui peuvent être ajustés afin d'en accroître davantage la performance.
Scoop.it!
this tutorial will explain how to use a MySQL backend in order to authentication users against your Apache website. To achieve this we will use Apache2 and its auth_mysql module.
Scoop.it!
Apache web server configuration to enable password protection of a web site. covers use of .htaccess and .htpasswd files.
Mickael Ruau's insight:
Apache authentication can be configured to require web site visitors to login with a user id and password. This is different than adding a login form on a web page and creating your own authentication. This tutorial describes the various methods available for authentication with Apache and its' configuration. Login protection is applied to the web pages stored in a directory. The login dialog box which requests the user id and password is provided by the web browser at the request of Apache. Apache allows the configuration to be entered in its' configuration files (i.e. main configuration file /etc/httpd/conf/httpd.conf, supplementary configuration files /etc/httpd/conf.d/component.conf or in a file which resides within the directory to be password protected. Five forms of authentication are detailed here: Apache password file authentication, digest file authentication, LDAP, NIS and MySQL.
Scoop.it!
Objectif : Réaliser l'authentification basique Apache pour un Webdav avec une base d'utilisateurs en MySQL, et le mot de passe stocké avec...
Mickael Ruau's insight:
Debian 6.0.1 Squeeze – Apache 2.2.16 – MySQL Server 5.1.49
Scoop.it!
Améliorer les performances grâce au partitionnement (MySQL 5.1)
Mickael Ruau's insight:
Cet article montre comment améliorer les performances de requêtes grâce à une utilisation judicieuse du partitionnement de tables. Tous les exemples se basent sur MySQL, dont le support du partitionnement est l'une des grandes nouveautés de la version 5.1.
Scoop.it!
Mysql est la base de données Open Source la plus répandue. Cet article vous présente les techniques de base pour sécuriser votre serveur Mysql.
|
