- 1. Copyright 2011 Clavis Segurana da Informao. Todos os
direitos reservados. Atacando (e protegendo) aplicaes web Rafael
Soares Ferreira Clavis Segurana da Informao [email_address]
2. $ whoami
- Scio Diretor Grupo Clavis
3. Pentester 4. Incident Handler 5. Hacker tico 6. Instrutor e
Palestrante 7. Injees OWASP Top 10 2010 - A1 OWASP Top 10 2007 - A2
Cross Site Scripting (XSS) OWASP Top 10 2010 - A2 OWASP Top 10 2007
- A1 Principais Ameaas 8. Dadosnoesperados Strings
interpretadascomocomandos SQL, Shell, LDAP, etc... SQL o caso mais
comum Injees Principais Ameaas 9. SELECT id FROM usuarios WHERE
nome = '$nome' AND senha = '$senha' ; Client-Side: Server-Side:
Principais Ameaas Injees - Exemplos 10. ' OR 'a'='a SELECT id FROM
usuarios WHERE nome = '$nome' AND senha = ' ' OR 'a'='a ' ;
Client-Side: O Exploit! Server-Side: Principais Ameaas Injees -
Exemplos 11. Principais Ameaas Injees - Exemplos Cdigo PHP: $query
= "SELECT * FROM usuarios WHERE username = '" . $_REQUEST[usr'] .
AND passwd= . $_REQUEST[pwd] . ; Explorao:
login.php?usr=+OR+1=1--&pwd=a query
