হ্যাকিং টিউটোরিয়ালঃ SQL ইনজেকশন

২৪ শে ফেব্রুয়ারি, ২০১২ রাত ৯:৩৮

শিকার খোঁজাঃ

SQL Injection হল সাইটের নিরাপত্তা ব্যবস্থা ভেঙ্গে তথ্য বের করার এক ধরণের কৌশল। শুধুমাত্র যে সব সাইটের ডাটাবেজে কোনও ত্রুটি (Error) থাকে, সে ধরণের সাইটে SQL Injection প্রয়োগ করে তথ্য বের করা সম্ভব হয়। এতোটুকু শুনে ঘাবড়ে যাওয়ার কিছু নেই; ডাটাবেজে এরর আছে এরকম সাইটের সংখ্যা অনেক, হ্যাক করার মতো অনেক সাইট পাবেন!



আপনার প্রাথমিক কাজ হল, একটি সাইট Vulnerable (আক্রমণ করা যাবে এমন) কিনা, SQL Inject করা যাবে কিনা সেটি জানা। সাধারণত যে সকল সাইটের URL-এ ID এবং Value থাকে, সে সকল সাইটে SQL Error থাকে। যেমন ধরুনঃ www.bonsaitrees.com/gallery.php?id=4 ঠিকানাটি। লক্ষ্য করুন এই ইউআরএল-এ id=4; এখানে ID এবং value (4) আছে। এই সাইটটিতে SQL Inject করলে সফল হওয়ার সম্ভাবনা বেশি। আপনি হয়তো ভাবছেন কোন কোন সাইটে Id=value আছে কীভাবে জানবেন, ইন্টারনেটে তো কোটি কোটি ওয়েবসাইট! গুগোলে inurl:games.php?id=, inurl:member.php?id= ইত্যাদি লিখে সার্চ দিন। এরকম আরও কিছু Dork-এর জন্যে এই পোষ্টটি দেখুন।



ধরা যাক, আপনি এরকম একটি সাইট পেয়েছেন যেখানে id=value আছে। এখন এটি Vulnerable কিনা নিশ্চিত হবেন কীভাবে? এক্ষেত্রে আপনাকে একটি টোকেন ব্যবহার করতে হবে। প্রথমে ওই লিংকে যান, পুরো পেইজটি ভালো করে লক্ষ্য করুন। এবার URL-এর শেষে একটি টোকেন (‘) দিন। মুল লিংক যদি হয় www.bonsaitrees.com/gallery.php?id=4, তাহলে www.bonsaitrees.com/gallery.php?id=4′ লিংকে যান। দ্বিতীয় লিংকে লক্ষ্য করুন 4-এর পরে অতিরিক্ত চিহ্ন সংযোজিত হয়েছে। দ্বিতীয় লিংকে যাওয়ার পর যদি কোনও পরিবর্তন লক্ষ্য করেন, তাহলে এই সাইটটি vulnerable! পরিবর্তন বলতে- কোনও লেখা বা ছবি উধাও হয়ে যাওয়া, এলোমেলো লেখা দেখানো, কখনো কখনো লে-আউট পাল্টে যাওয়া ইত্যাদি।



প্রস্তুতিঃ

১) প্রস্তুতির অংশ হিসেবে HackBar নামের মজিলা এডঅন ডাউনলোড করে নিন। এই এডঅনটি আপনাকে অসাধারণ কিছু সুবিধা দেবে। HackBar ডাউনলোড করতে এখানে ক্লিক করুন। ব্যবহারবিধি জানতে এই লেখাটি দেখুন।



২) Vulnerability যাচাই করার জন্যে তুমুল জনপ্রিয় Havij ডাউনলোড করুন। এই সফটওয়্যার দিয়ে খুব সহজে একটি সাইটে SQL Error আছে কিনা পরীক্ষা করতে পারবেন। ডাউনলোড করতে এখানে ক্লিক করুন।



HackBar এবং Havij-এর ব্যবহার নিয়ে প্রয়োজনের সময় আলোচনা করব। এ পর্যন্ত কোথাও বুঝতে সমস্যা হলে অবশ্যই বলবেন, আমি চেষ্টা করব উত্তর দিতে।

SQL Injection-এর বিস্তারিত কৌশল জানতে এখানে ক্লিক করুন।

২৪ টি +১২/-০