DVWA – SQL Injections | impossible (ITA)

Guarda su YouTube → 30:10 16 ottobre 2022

CybersecurityWeb

Descrizione

In questo video continuo la serie sulla DVWA, una applicazione web (PHP+MariaDB) scritta per essere vulnerabile, andando a risolvere il livello impossible della sezione sulle SQL injections. Alla fine presento una domanda, che a prima vista potrebbe sembrare semplice, ma la cui risposta nasconde delle riflessioni alquanto spinose. ------------------------------------ MATERIALE ORIGINALE: https://academy.leonardotamiano.xyz/video/IPyJHHCXt20.html ------------------------------------ TIMESTAMPS: 00:00 introduzione 01:16 ripasso dei precedenti livelli 06:30 descrizione sqli livello impossibile 08:20 analisi codice 13:20 utilizzo dei prepared statments come difesa 17:00 utilizzo di escaping come altra difesa 22:25 discussione filosofica: questo codice è sicuro? ------------------------------------ PER CONTATTI: - Academy: https://academy.leonardotamiano.xyz - Website: https://leonardotamiano.xyz - LinkedIn: https://www.linkedin.com/in/leonardo-tamiano-707591236

Commenti 15

I commenti vengono da YouTube e sono aggiornati periodicamente.

@canterburytales2797 23 novembre 2022

Avevo provato a chiarire i miei dubbi sul codice cercando un pò qua e la. Ma mi è bastato seguire questo tuo video per risolvere. Grazie
@angelonunziolombardi 16 ottobre 2022

Sempre un piacere vedere il tuo material prof <3
2 risposte
1. @esadecimale Autore 21 ottobre 2022 1
  
  Grazie mille! (Sul materiale che mi hai inviato mi dispiace ancora non l’ho condiviso, ma finisco il linux day sabato e poi ci mi metto)
2. @angelonunziolombardi 21 ottobre 2022
  
  @esadecimale tranquillo, sempre disponibile
@costamvp3373 16 ottobre 2022

Il riassuntone finale quindi è l’unica sicurezza che abbiamo è che non siamo mai sicuri del tutto ! 😂😂
1 risposta
1. @esadecimale Autore 21 ottobre 2022
  
  Praticamente ahahah, certo poi bisogna anche farci i conti con questo fatto e non impazzire del tutto, si spera
@TheSlashpark 16 ottobre 2022

Hey ciao, potresti fare dei video sulla recente reply challenge?
2 risposte
1. @esadecimale Autore 21 ottobre 2022 1
  
  Hey ciao, l’ho vista ma per adesso non ho avuto tempo per parteciparci, quando sono più libero comincio a vedere le challenges crypto e se sono interessanti le porto sicuramente!
2. @TheSlashpark 21 ottobre 2022
  
  @esadecimale Ottimo, grazie
@lollocanzo5633 29 novembre 2023

Ok chiaro ma quindi c'è un modo per bucare il livello impossible?
5 risposte
1. @esadecimale Autore 29 novembre 2023
  
  dipende come sono implementate quelle funzioni. Ma li diventa un livello di exploitation terribilmente più difficile. Quindi, non saprei, forse si. Finché qualcuno non dimostra il contrario però possiamo assumere che siano sicure
2. @lollocanzo5633 29 novembre 2023
  
  @esadecimale mm non sei riuscito in nessun modo tu? Secondo te per farlo bisognerebbe addirittura cercare vulnerabilità lato l'ambiente dove gira il codice? Tipo cercare vulnerabilità note di apache o pure di mysql o altro ecc?
3. @esadecimale Autore 29 novembre 2023
  
  @lollocanzo5633 si l'idea è quella, ma se trovi una vulnerabilità del genere otterresti una CVE e un riconoscimento da parte della community globale, proprio perché non è per niente banale. Esula dal semplice esercizio didattico della DVWA.
4. @esadecimale Autore 29 novembre 2023
  
  L'idea, forse un po' filosofica ma comunque utile ed importante da specificare, è che nessun codice è mai 100% sicuro, dipende sempre come viene utilizzato nel particolare contesto
5. @lollocanzo5633 29 novembre 2023
  
  @esadecimale ah non sapevo esulasse dal esercizio didattico