testing - site - ¿Tiene alguna Prueba de Inyección SQL "Munición"?

xss javascript

Question

Al leer sobre SQL Injection y XSS me preguntaba si ustedes tienen una sola cadena que podría usarse para identificar esas vulnerabilidades y otras.

Una cadena que podría ser arrojada a una base de datos de un sitio web para verificar si ese campo es seguro o no. (va a hacer una gran prueba en algunas herramientas internas)

Ejemplo difícil, preguntándose si ustedes saben de más?

"a" o "1" = "1"

"center ''> <script> alerta ('' prueba '') </ script>"

EDITAR: Encontré una buena pregunta XSS en SO

Answer 1

He encontrado algunos buenos complementos de Firefox que hacen el truco.

XSS Yo

SQL Inject Me

Answer 2

Honestamente, hay algunas herramientas que son una buena prueba para la inyección de SQL, pero sinceramente, no reemplazan totalmente las pruebas manuales y la revisión de código de manera ideal.

Para usar su ejemplo, hay situaciones donde "or (1 = 1)" no funciona pero "o / ** / (1 = 1); -" hace.

A veces, ajustar ciertas cadenas proporcionará resultados diferentes, dependiendo de aspectos como la codificación de caracteres y la creatividad general. También vale la pena mencionar que a veces no está seguro de las herramientas de terceros en su aplicación web. Nunca subestimes la creatividad de las personas, especialmente si tienes un sitio web público.

Esta es una buena trampa .

Para hacer mis pruebas, utilizo Paros , tiene una herramienta de escaneo de sitios web interesante que también puede ejecutar que también encuentra algunos problemas.

Esta pregunta lleva la repetición de esta caricatura de inyección SQL .

Answer 3

Vea el sitio de OWASP para ejemplos.

Answer 4

http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/

Incluye versiones para la mayoría de los DB, incluidos los trucos Hex que evitan el escape estándar.

Answer 5

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet tiene muchos ejemplos para probar la inyección de SQL.