ืืื ืืขืจ ืคืึทืจืืึทื ืืขื ืืืื ืืืจ ืืึธืื ืืขืจืขืื ืืืขืื Nemesida WAF ืคืจืื - ืึท ืคืจืื ืืขืฆืืึทื ืคึฟืึทืจ ืคึผืจืึทืืขืงืืื ื ืืืขืืกืืืขืก ืืื ืึทืคึผืืก ืคืื ืืขืงืขืจ ืื ืคืืื, ืืื ืืื ืืขื ืืืจ ืืึทืฉืืึธืกื ืฆื ืึธืคึผืฉืึทืฆื ืึท ืคืึธืืงืก ืืืึทืื ืขืจืึทืืืืืื ืกืงืึทื ื ืขืจ .
ืกืงืึทื ืื ื ืึท ืืืขืืืืืื ืคึฟืึทืจ ืืืึทืื ืขืจืึทืืืืืืื ืืื ืึท ื ืืืืืง ืืึธืก, ืืืึธืก, ืฆืืืึทืืขื ืืื ืึทื ืึทืืืกืืก ืคืื ืื ืืงืืจ ืงืึธื, ืึทืืึทืื ืืืจ ืฆื ืึทืกืกืขืกืก ืื ืืืจืื ืคืื ืืืึทื ืืืืขืจืืืื ืงืขืื ืืจืขืฅ ืคืื ืงืึธืืคึผืจืึธืืืก. ืืืจ ืงืขื ืขื ืืืขืจืงืืงื ืึท ืืืขื ืืืื ืืื ืกืคึผืขืฉืึทืืืืื ืืืฉืืจืื.
Nikto, W3af (ืืขืฉืจืืื ืืื Python 2.7, ืืืึธืก ืืื ื ืื ืืขืจ ืืขืฉืืืฆื) ืึธืืขืจ Arachni (ื ืื ืืขืจ ืืขืฉืืืฆื ืืื ื ืคืขืืจืืืจ) ืืขื ืขื ืื ืืขืจืกื ืคืึธืืงืก ืกืึทืืืฉืึทื ื ืืขืจืืื ืื ืืื ืื ืคืจืื ืึธืคึผืฉื ืื. ืคืื ืงืืจืก, ืขืก ืืขื ืขื ืื ืืขืจืข, ืืืฉื, Wapiti, ืืืึธืก ืืืจ ืืึทืฉืืึธืกื ืฆื ืคืึธืงืืก ืืืืฃ.
Wapiti ืึทืจืืขื ืืื ืื ืคืืืืขื ืืข ืืืืคึผืก ืคืื ืืืึทืื ืขืจืึทืืืืืืื:
- ืืขืงืข ืืงืกืคึผืึทื ืฉืึทื (ืืืืข ืืื ืืืืึทื, fopen, readfile);
- ืื ืืืฉืขืงืฉืึทื ื (PHP / JSP / ASP / SQL ืื ืืืฉืขืงืฉืึทื ืืื XPath ืื ืืืฉืขืงืฉืึทื);
- XSS (ืงืจืึธืก ืืึทืคึผืข ืกืงืจืืคึผืืื ื) (ืจืืคืืขืงืืืื ืืื ืคึผืขืจืกืืกืืขื ื);
- ืืืืขืงืฉืึทื ืืื ืืืจืืคืืจืื ื ืคืื ืงืึทืืึทื ืื (ืขืืืึทื (), ืกืืกืืขื (), ืคึผืึทืกืกืืจื ());
- CRLF ืื ืืืฉืขืงืฉืึทื ื (ืืืืคึผ ืขื ืืคืขืจ ืกืคึผืืืืื ื, ืกืขืกืืข ืคืืงืกืืืฉืึทื);
- XXE (XML ืคืื ืืจืืืกื ืืืง ืขื ืืืื) ืขืืืขืืืื ื;
- SSRF (Server Side Request Forgery);
- ื ืืฆื ืคืื ืืึทืืืืกื ืคึผืึทืืขื ืืฉืึทืื ืืขืคืขืจืืขื ืืขืงืขืก (ืืึทื ืง ืฆื ืื Nikto ืืึทืืึทืืืืก);
- ืฉืืืึทื .ืืืึทืงืกืขืกืก ืงืึทื ืคืืืืขืจืืืฉืึทื ื ืืืึธืก ืงืขื ืขื ืืืื ืืืืคึผืึทืกื;
- ืื ืืืึทืืืึทื ืคืื ืืึทืงืึทืคึผ ืืขืงืขืก ืืืึธืก ืึทื ืืืขืงื ืงืึทื ืคืึทืืขื ืฉืึทื ืืื ืคึฟืึธืจืืึทืฆืืข (ืึทื ืืคึผืืขืงืื ื ืคืื ืืงืืจ ืงืึธื);
- Shellshock;
- ืขืคืขื ืขื ืจืืืขืจืขืงืื;
- ื ืื-ื ืึธืจืืึทื ืืืืคึผ ืืขืืืึธืืก ืืืึธืก ืงืขื ืขื ืืืื ืจืืืึทืืืื (PUT).
ืคึฟืขืึดืงืืืื:
- ืฉืืืฆื ืคึฟืึทืจ HTTP, HTTPS ืืื SOCKS5 ืคึผืจืึทืงืกื;
- ืึธืืขื ืืึทืงืืืฉืึทื ื ืืฆื ืขืืืขืืข ืืขืืืึธืืก: ืืึทืกืืง, ืืืืขืกื, ืงืขืจืืขืจืึธืก ืึธืืขืจ ื ืืื;
- ืื ืคืืืืงืืื ืฆื ืืึทืืจืขื ืขืฆื ืื ืกืงืึทื ืื ื ืืขืื ื (ืคืขืื, ืคืขืื, ืืืึทื, URL);
- ืึธืืึทืืึทืืืง ืืึทืืืึทืืืงืื ื ืคืื ืืืื ืขืจ ืคืื ืื ืคึผืึทืจืึทืืขืืขืจืก ืืื ืื URL;
- ืงืืืคื ืคึผืจืืงืึธืฉืึทื ื ืงืขืื ืกืึธืฃ ืืืขืจืงืืงื ืืืคึผืก (ืืืึทืฉืคึผืื: ifor, ืืืืืืื ื ืืืึทืืืขืก ืคึฟืึทืจ ืึท ืคึผืึทืจืึทืืขืืขืจ);
- ืื ืคืืืืงืืื ืฆื ืฉืืขืื ืึท ืืืืืขืจืงืืึทื ืคึฟืึทืจ ืืืจืืงืืง URL ืก (ืืคืืื ืืืื ืืื ืืขื ืขื ื ืืฉื ืืื ืื ืกืงืึทื ืื ื ืืขืื ื);
- ืคืืืืงืืื ืฆื ืืืกืฉืืืกื ืขืืืขืืข URL ืก ืคืื ืกืงืึทื ืื ื ืืื ืื ืคืืื (ืืืฉื: URL ืืึธืืึธืื);
- ืึทืจืืึทื ืคืืจ ืงืืืืขื (ืืึทืงืืืขื ืืื ืืื ืื wapiti-getcookie ืืขืฆืืึทื);
- ืคืืืืงืืื ืฆื ืึทืงืืึทืืืืื / ืืืึทืงืืืืืืื SSL ืืึทืืืืึทืื ืืืขืจืึทืคืึทืงืืืฉืึทื;
- ืื ืคืืืืงืืื ืฆื ืขืงืกืืจืึทืงื URL ืก ืคืื ืืืฉืึทืืืึทืกืงืจืืคึผื (ืึท ืืืืขืจ ืคึผืฉืื JS ืืืขืจืืขืฆืขืจ);
- ืื ืืขืจืึทืงืฉืึทื ืืื HTML5;
- ืขืืืขืืข ืึธืคึผืฆืืขืก ืคึฟืึทืจ ืึธื ืคืืจืื ื ืคืื ืงืจืืืขืจ ื ืึทืืืจ ืืื ืจืืกืืจืืงืฉืึทื ื;
- ืืึทืฉืืขืืืงื ืื ืืึทืงืกืืืื ืฆืืื ืคึฟืึทืจ ืื ืกืงืึทื ืื ื ืคึผืจืึธืฆืขืก;
- ืึทืืื ื ืขืืืขืืข ืื ืื ืืืืคึผ ืืขืืขืจื ืึธืืขืจ ืืึทืฉืืขืืืงื ืึท ืื ืื ืืึทื ืืฆืขืจ-ืึทืืขื ื.
ื ืึธื ืคึฟืขืึดืงืืืื:
- ืงืจืืืืืื ื ืืืึทืื ืขืจืึทืืืืืื ืจืืคึผืึธืจืฅ ืืื ืคืึทืจืฉืืื ืคึฟืึธืจืืึทืืืจืื ืืขื (HTML, XML, JSON, TXT);
- ืคึผืึธืืืื ื ืืื ืจืืืืืื ื ืึท ืืืขืจืงืืงื ืึธืืขืจ ืืึทืคืึทืื (ืกืขืกืืข ืืขืงืึทื ืืืึทื ื ืืฆื SQLite3 ืืึทืืึทืืืืกืื);
- ืืึทืงืืืื ืืื ืื ืืืึธืงืืึทื ืฆื ืืืืืคึผืื ืงื ืืืึทืื ืขืจืึทืืืืืืื;
- ืคืึทืจืฉืืืขื ืข ืืขืืืขืืก ืคืื ืืึธืืื ื;
- ื ืฉื ืขื ืืื ืืจืื ื ืืืขื ืฆื ืึทืงืืึทืืืืื / ืืืึทืงืืืืืืื ืืึทืคืึทืื ืืึทืืืฉืืื.
ืื ืกืืึทืืืจืื ื
ืื ืงืจืึทื ื ืืืขืจืกืืข ืคืื โโWapiti ืงืขื ืขื ืืืื ืืื ืกืืึทืืืจื ืืื 2 ืืืขืื:
- ืึธืคึผืืึธืืืจื ืื ืืงืืจ ืคืื ืืขืจ ืืึทืึทืืืขืจ ืืื ืืืืคื ืื ืื ืกืืึทืืืจืื ื ืฉืจืืคื, ื ืึธื ืืื ืกืืึทืืืจื Python3;
- ื ืืฆื ืื pip3 install wapiti3 ืืึทืคึฟืขื.
ื ืึธื ืืขื, Wapiti ืืืขื ืืืื ืืจืืื ืฆื ืืืื.
ืึทืจืืขื ืืื ืืขื ืืขืฆืืึทื
ืฆื ืืึทืืืืึทืื ืื ืึทืจืืขื ืคืื Wapiti, ืืืจ ืืืขืื ื ืืฆื ืึท ืกืคึผืขืฆืืขื ืฆืืืขืืจืืื ืกืืึทื ืืึทืจื sites.vulns.pentestit.ru (ืื ืขืจืืขื ืืืื), ืืื ืคืึทืจืฉืืื ืืืึทืื ืขืจืึทืืืืืืื (ืื ืืืฉืขืงืฉืึทื, XSS, LFI / RFI) ืืื ืื ืืขืจืข ืฉืึธืจืืงืึธืืื ืืก ืคืื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ื.
ืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืฆืืืขืฉืืขืื ืืืืื ืคึฟืึทืจ ืื ืคืึธืจืืืืฉืึทื ืึทื ืฆืืืขืงื. ืื ืืืืกื ื ืืฉื ืืจืขืื ืื ืืขืืขืฅ!
ืืงืขืจืืืง ืืึทืคึฟืขื ืฆื ืงืึทืืขืจ ืื ืกืงืึทื ื ืขืจ:
# wapiti -u <target> <options>ืืื ืืขืจ ืืขืืืืงืขืจ ืฆืืื, ืขืก ืืื ืืึทื ืฅ ืืืืืืื ืืืืฃ ืืื ืึท ืจืืืืง ื ืืืขืจ ืคืื ืงืึทืืขืจ ืึธืคึผืฆืืขืก, ืืืฉื:
--ืคืึทืจื ืขื - ืึทืคึผืืึทืงืืืฉืึทื ืืขืื ื
ืืืื ืืืจ ืกืคึผืขืฆืืคืืฆืืจื ืื ืคืึทืจื ืขื ืคึผืึทืจืึทืืขืืขืจ ืฆืืืืืขื ืืื ืื ืงืจืืื URL, ืืืจ ืงืขื ืขื ืกืืจืืืขืจื ืื ืคึผืืึทืฅ ืก ืงืจืึธืืื ื ืืขืื ื ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืืืืืข ืึท ืืืื ืืืึทื ืืื ืึทืืข ืืืขืืขืจ ืืืึธืก ืงืขื ืขื ืืืื ืืขืคึฟืื ืขื ืืืืฃ ืืขื ืคึผืืึทืฅ.
-s ะธ -x - ืึธืคึผืฆืืขืก ืฆื ืืืืื ืึธืืขืจ ืืึทืืืึทืืืงื ืกืคึผืขืฆืืคืืฉ URL ืก. ืื ืึธืคึผืฆืืขืก ืืขื ืขื ื ืืฆืืง ืืืขื ืืืจ ืืึทืจืคึฟื ืฆื ืืืืื ืึธืืขืจ ืึทืจืึธืคึผื ืขืืขื ืึท ืกืคึผืขืฆืืคืืฉ URL ืืขืฉืึทืก ืื ืงืจืืื ืคึผืจืึธืฆืขืก.
--ืฉืึธืคึผ - ืืขืจ ืกืคึผืขืกืืคืืขื ืคึผืึทืจืึทืืขืืขืจ ืืื ืืขื ืฉืืืกื ืืืขื ืืืื ืกืงืึทื ื, ืึธืืขืจ ืืืขื ื ืืฉื ืืืื ืงืขืื. ื ืืฆืืง ืืืื ืขืก ืืขื ืขื ืงืืื ืืขืคืขืจืืขื ืคึผืึทืจืึทืืขืืขืจืก ืืืึธืก ืืขื ืขื ืืขืกืืขืจ ืืงืกืงืืืืื ืืขืฉืึทืก ืกืงืึทื ืื ื.
--verify-ssl - ืืขืื ืึธืืขืจ ืืืกืืืืึทื ืืึทืืืืึทืื ืืืขืจืึทืคืึทืงืืืฉืึทื.
ืื Wapiti ืกืงืึทื ื ืขืจ ืืื ืืึทืืืฉืึทืืขืจ. ืึธืืขืจ, ืฆื ืงืึทืืขืจ ืกืคึผืขืฆืืคืืฉ ืืึทืืืฉืืื, ืึทืจืืึทื ืืขืจืขืื ื ืื ืืืึธืก ืืขื ืขื ืืืืืึธืืึทืืืฉ ืงืึธื ื ืขืงืืขื ืืฉืขืช ืื ืกืงืึทื ืขืจ ืืื ืคืืืกื ืืืง, ืืืจ ืืึทืจืคึฟื ืฆื ื ืืฆื ืื -m ืืึทืฉืืืืขื ืืื ืจืฉืืื ืื ืึธื ืขืก ืืืจ ืืึทืจืคึฟื, ืืคืืขืฉืืืื ืืืจื ืงืึธืืืึทืก. ืืืื ืืขืจ ืฉืืืกื ืืื ื ืืฉื ืืขื ืืฆื, ืึทืืข ืืึทืืืฉืืื ืืืขื ืึทืจืืขืื ืืืจื ืคืขืืืงืืึทื. ืืื ืื ืกืืืคึผืืึทืกื ืืืขืจืกืืข ืขืก ืืืขื ืงืืงื ืืื ืืึธืก:
# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxeืืขื ืืึทื ืืฅ ืืืืฉืคึผืื ืืืื ืึทื ืืืจ ืืืขืื ืืืืื ื ืืฆื ืื SQL, XSS ืืื XXE ืืึทืืืฉืืื ืืืขื ืกืงืึทื ืื ื ืื ืฆืื. ืืื ืืขืจืฆื, ืืืจ ืงืขื ืขื ืคืืืืขืจ ืื ืึธืคึผืขืจืึทืฆืืข ืคืื โโืืึทืืืฉืืื ืืืคึผืขื ืืื ื ืืืืฃ ืื ืืขืืขืื ืืืคึฟื. ืคึฟืึทืจ ืืืึทืฉืคึผืื -ื "ืงืกืกืก: ืืึทืงืืืขื, ืืืื ืืกืงื: ืคึผืึธืกืื, ืงืกืกืข: ืคึผืึธืกืื". ืืื ืืขื ืคืึทื, ืื ืืึธืืืืข xss ืืืขื ืฆืืืืืื ืฆื ืจืืงืืืขืก ืืขืฉืืงื ืืื ืื GET ืืืคึฟื ืืื ืื ืืึธืืืืข blibdsql - ืฆื POST ืจืืงืืืขืก, ืขืืง. ืืื, ืืืื ืขืืืขืืข ืืึธืืืืข ืืืึธืก ืืื ืืขืืืขื ืื ืงืืืืขื ืืื ืืขืจ ืจืฉืืื ืืื ื ืืฉื ืืืจืฃ ืืขืฉืึทืก ืกืงืึทื ืื ื ืึธืืขืจ ื ืขืื ืึท ืืืืขืจ ืืึทื ื ืฆืืื, ืืืจื ืืจืื ืืืขื ืื ืงืึธืืืื ืึทืฆืืข Ctrl + C, ืืืจ ืงืขื ืขื ืืึธืคึผืงืขื ืืื ืืขื ืงืจืึทื ื ืืึธืืืืข ืืืจื ืกืขืืขืงืืืจื ืืขื ืงืึธืจืึทืกืคึผืึทื ืืื ื ื ืืืขืจ ืืื ืื ืื ืืขืจืึทืงืืืื ืืขื ืื.
Wapiti ืฉืืืฆื ืคืึธืจื ืจืืงืืืขืก ืืืจื ืึท ืคึผืจืึทืงืกื ื ืืฆื ืึท ืฉืืืกื -p ืืื ืึธืืขื ืืึทืงืืืฉืึทื ืืืืฃ ืื ืฆืื ืคึผืืึทืฅ ืืืจื ืืขื ืคึผืึทืจืึทืืขืืขืจ -a. ืืืจ ืงืขื ืขื ืืืื ืกืคึผืขืฆืืคืืฆืืจื ืื ืึธืืขื ืืึทืงืืืฉืึทื ืืืคึผ: ืืึทืกืืง, ืืืืขืกื, ืงืขืจืืขืจืึธืก ะธ ื ืืื. ืื ืืขืฆืืข ืฆืืืื ืงืขื ืืึทืจืคื ืื ืื ืกืืึทืืืจืื ื ืคืื ื ืึธื ืืึทืืืฉืืื. ืืื ืึทืืืฉืึทื, ืืืจ ืงืขื ืขื ืึทืจืืึทื ืืืืื ืงืืื ืืขืืขืจื ืืื ืจืืงืืืขืก (ืึทืจืืึทื ืืขืจืขืื ื ืึทืจืืืืจืึทืจืืฉ ืืึทื ืืฆืขืจ-ืึทืืขื ื) ืืื ืคืื ืืขืจ.
ืฆื ื ืืฆื ืึธืืขื ืืึทืงืืืฉืึทื ืืืจ ืงืขื ืขื ื ืืฆื ืื ืืขืฆืืึทื wapiti-getcookie. ืืื ืืืึทื ืืืืฃ ืืืจ ืคืึธืจืขื ืงืืื, ืืืึธืก Wapiti ืืืขื ื ืืฆื ืืืขื ืกืงืึทื ืื ื. ืคืึธืจืืืจืื ื ืงืืื ืืขืืื ืืื ืืขื ืืึทืคึฟืขื:
# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.jsonืืฉืขืช ืืจืืขืื ืื ืืขืจืึทืงืืืืืขืื, ืืืจ ืขื ืืคึฟืขืจื ืคึฟืจืืื ืืื ืึธื ืืืืึทืื ืื ื ืืืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืึทืืึท ืืื ืืึธืืื, ืคึผืึทืจืึธื, ืขืืง:
ืืขืจ ืจืขืืืืืึทื ืืื ืึท ืืขืงืข ืืื JSON ืคึฟืึธืจืืึทื. ืื ืื ืืขืจ ืึธืคึผืฆืืข ืืื ืฆื ืืืืื ืึทืืข ืื ื ืืืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืืืจื ืืขื ืคึผืึทืจืึทืืขืืขืจ -d:
# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"ืืขืจ ืจืขืืืืืึทื ืืืขื ืืืื ืขื ืืขื:
ืืืขื ืืืจ ืืึทืืจืึทืืื ืื ืืืืคึผื ืคืึทื ืืงืฉืึทื ืึทืืืื ืคืื ืื ืกืงืึทื ื ืขืจ, ืื ืืขืฆื ืืขืื ืคึฟืึทืจ ืืขืกืืื ื ืื ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืื ืืื ืืืขืจ ืคืึทื ืืื ืืขืืืขื:
# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -ั cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128ืฆืืืืฉื ืื ืืขืจืข ืคึผืึทืจืึทืืขืืขืจืก:
-f ะธ -o - ืคึฟืึธืจืืึทื ืืื ืืจื ืคึฟืึทืจ ืฉืคึผืึธืจื ืื ืืึทืจืืื;
-m - ืงืึทื ืขืงืืื ื ืึทืืข ืืึทืืืฉืืื ืืื ื ืืฉื ืจืขืงืึทืืขื ืืื, ืืืืึทื ืืืขื ืืืืจืงื ืืขืกืืื ื ืฆืืื ืืื ืืึทืจืืื ืืจืืืก;
--ืคืึทืจื - ืืืืืคึผืื ืงื ืืขืคึฟืื ืขื ืืืึทืื ืขืจืึทืืืืืืื ืืืคึผืขื ืืื ื ืืืืฃ ืืืืขืจ ืงืจืืืืงืืื ืืืื Wapiti ืืื;
-c - ื ืืฆื ืึท ืืขืงืข ืืื ืงืืื, ืืืฉืขื ืขืจืืืืึทื ื ืืฆื wapiti-getcookie;
--ืคืึทืจื ืขื โ ืืืืกืงืืืืื ื ืฆืื ืคืืจ ืืืืงืข. ืกืขืืขืงืืืจื ืึทื ืึธืคึผืฆืืข ืืขืงืข ืืขืืขืจ URL ืืืขื ืืืื ืงืจืึธืื ืืื ืงืขืื, ืกืืึทืจืืื ื ืืื ืื ืืึทืืข. ืื ืืึทืืข URL ืืืื ืืึธืื ืึท ืคืึธืจืืืก ืฆืขืืึทืงื (ืงืืื ืืขืงืข ื ืึธืืขื);
--ืคืืืฉ-ืกืขืกืืข - ืึทืืึทืื ืจืืคึผืืืื ืกืงืึทื ืื ื, ืืื ืืืึธืก ืื ืคืจืืขืจืืืงืข ืจืขืืืืืึทืื ืืืขื ื ืืฉื ืืืื ืืขื ืืืขื ืืื ืืฉืืื;
-A โ ืืฒืืขื ืข ืืึทื ืืฆืขืจ-ืึทืืขื ื;
-p - ืคืจืืงืกื ืกืขืจืืืขืจ ืึทืืจืขืก, ืืืื ื ืืืืืง.
ื ืืืกื ืืืขืื ืืขื ืืึทืจืืื
ืื ืกืงืึทื ืื ื ืจืขืืืืืึทื ืืื ืืขืจืืื ืื ืืื ืื ืคืึธืจืขื ืคืื ืึท ืืืืืืื ืืึทืจืืื ืืืืฃ ืึทืืข ืืขืคึฟืื ืขื ืืืึทืื ืขืจืึทืืืืืืื ืืื HTML ืืืึทื ืคึฟืึธืจืืึทื, ืืื ืึท ืงืืึธืจ ืืื ืืจืื ื ืฆื ืืืืขื ืขื ืคืึธืจืขื. ืืขืจ ืืึทืจืืื ืืืขื ืึธื ืืืืึทืื ืื ืงืึทืืขืืึธืจืืขืก ืืื ื ืืืขืจ ืคืื ืืืึทืื ืขืจืึทืืืืืืื ืืขืคึฟืื ืขื, ืืืืขืจ ืืืกืงืจืืคึผืฉืึทื ื, ืจืืงืืืขืก, ืงืึทืืึทื ืื ืคึฟืึทืจ ืืจืืึทืื ืืื ืขืฆืืช ืืืืฃ ืืื ืฆื ืคืึทืจืืึทืื ืืื. ืคึฟืึทืจ ืื ืคืื ื ืึทืืืืืึทืฆืืข, ืึท ืืื ืง ืืืขื ืืืื ืืืกืืฃ ืฆื ืื ืงืึทืืขืืึธืจืืข ื ืขืืขื, ืงืืืงืื ื ืืืืฃ ืืืึธืก ืืืจ ืงืขื ืขื ืืืื ืฆื ืขืก:
ื ืืึทืืืึทืืืง ืืืกืึธืจื ืคืื ืืขื ืืึทืจืืื ืืื ืืขืจ ืึทืืืขืง ืคืื ืึท ืืืขื ืึทืคึผืืึทืงืืืฉืึทื ืืึทืคึผืข ืืื ืึทืืึท, ืึธื ืืืึธืก ืขืก ืืืขื ื ืืฉื ืืืื ืงืืึธืจ ืฆื ืึทืืข ืึทืืจืขืกืขืก ืืื ืคึผืึทืจืึทืืขืืขืจืก ืืขื ืขื ืึทื ืึทืืืืื. ืขืก ืืื ืืืื ืึท ืืขืืืขืืงืืื ืคืื ืคืึทืืฉ ืคึผืึทืืึทืืืืื. ืืื ืืื ืืืขืจ ืคืึทื, ืืขืจ ืืึทืจืืื ืืืื "ืืึทืงืงืืคึผ ืืขืงืขืก" ืืื "ืคึผืึทืืขื ืืฉืึทืื ืืขืคืขืจืืขื ืืขืงืขืก." ืืืืขืจ ื ืืืขืจ ืืื ื ืืฉื ืฉืืืืขื ืฆื ืืขืจ ืคืึทืงื, ืืืืึทื ืขืก ืืขื ืขื ืืขืืืขื ื ืื ืึทืืึท ืืขืงืขืก ืืืืฃ ืื ืกืขืจืืืขืจ:
ืืึธืืขืจ ืคืึทืืฉ ืืจืืขืื ืืึทืืืฉืืื ืืืขื ืืืื ืคืึทืจืคืขืกืืืงื ืืืืขืจ ืฆืืึทื. ืื ืื ืืขืจ ืฉืืขืจืื ื ืคืื ืืขื ืืึทืจืืื ืืื ืื ืคืขืื ืคืื ืงืึทืืขืจืื ื ืคืื ืื ืืขืคึฟืื ืขื ืืืึทืื ืขืจืึทืืืืืืื (ืืืคึผืขื ืืื ื ืืืืฃ ืืืืขืจ ืงืจืืืืงืืื), ืึธืืขืจ ืืืึท ืืื ืืกืืขืจ ืืืืืืืืื ื ืืื ืืื ืงืึทืืขืืึธืจืืขืก. ืืขืจ ืืืืื ืืืขื ืืืจ ืงืขื ืขื ืืื ืึทืฆืึทื ืคึฟืึทืจืฉืืืื ืื ืงืจืืืืงืืื ืคืื ืื ืืขืคึฟืื ืขื ืืืึทืื ืขืจืึทืืืืืื ืืื ืฆื ื ืืฆื ืืขื ืคึผืึทืจืึทืืขืืขืจ --ืคืึทืจื ืืขืฉืึทืก ืกืงืึทื ืื ื, ืืื ืื ืืืึทืื ืขืจืึทืืืืืืื ืืขืคึฟืื ืขื ืืืขื ืืืื ืืื ื ืืื ืคืึทืจืฉืืืขื ืข ืคืืจืื:
ืืืขืจ ืืขืจ ืืึทืจืืื ืืื ืืื ื ืืฉื ืฆืืฉืืขืื ืึทืืึท ืงืึทืืขืจืื ื.
ืืืึทืื ืขืจืึทืืืืืืื
SQLi
ืืขืจ ืกืงืึทื ื ืขืจ ืืืื ืงืึธืืคึผื ืืื ืื SQLi ืืืื. ืืืขื ืืืจ ืืืื ืคึฟืึทืจ SQL ืืืึทืื ืขืจืึทืืืืืืื ืืืืฃ ืืืขืืขืจ ืืื ืึธืืขื ืืึทืงืืืฉืึทื ืืื ื ืืฉื ืคืืจืืื ืื, ืงืืื ืคืจืืืืขืืขื ืืืืคืฉืืืื:
ืขืก ืืื ื ืื ืืขืืืขื ืฆื ืืขืคึฟืื ืขื ืึท ืืืึทืื ืขืจืึทืืืืืื ืืืืฃ ืืืขืืขืจ ืฆืืืจืืืืขื ืืืืื ื ืึธื ืึธืืขื ืืึทืงืืืฉืึทื, ืืคืืื ื ืืฆื ืืืืืืง ืงืืื, ืืื ื ืจืืึฟ ืืกืชึผืื ื ืึธื ืืขืจืึธืื ืึธืืขื ืืึทืงืืืฉืึทื, ืืืืขืจ ืกืขืกืืข ืืืขื ืืืื "ืืึธืื ืืืืก" ืืื ืงืืื ืืืขื ืืืขืจื ืคืึทืจืงืจืืคึผืื. ืืืื ืื ืืขืึทืืืืึธืจืืืึทืืืึธื ืคึฟืื ืงืฆืืข ืืื ืืืคึผืืึทืืขื ืึทื ืืื ืึท ืืึทืืื ืืขืจ ืฉืจืืคื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืคึผืจืึทืกืขืกืื ื ืืขื ืคึผืจืึธืฆืขืืืจ, ืขืก ืืืึธืื ืืืื ืืขืืืขื ืฆื ืืึธืจ ืืืกืฉืืืกื ืขืก ืืืจื ืื -x ืคึผืึทืจืึทืืขืืขืจ, ืืื ืืขืจืืื ืคืึทืจืืืึทืื ืขืก ืคืื ืืจืืืขืจืื ื. ืึทื ืืขืจืฉ, ืขืก ืืืขื ื ืื ืืืื ืืขืืืขื ืฆื ืืืกืฉืืืกื ืืืึทื ืคึผืจืึทืกืขืกืื ื. ืืึธืก ืืื ื ืืฉื ืึท ืคึผืจืึธืืืขื ืืื ืึท ืกืคึผืขืฆืืคืืฉ ืืึธืืืืข, ืึธืืขืจ ืืื ืื ืืขืฆืืึทื ืืื ืึท ืืึทื ืฅ, ืึธืืขืจ ืืืืึทื ืคืื ืืขื ื ืืึทื ืก, ืขืก ืืื ื ืื ืืขืืืขื ืฆื ืืขืืขืงื ืขืืืขืืข ืื ืืืฉืขืงืฉืึทื ื ืืื ืึท ืคืืจืืืื ืืืื ืืขืื ื.
ืงืกืกืก
ืืขืจ ืกืงืึทื ื ืขืจ ืงืึธืืคึผื ืืื ืื ืืขืืขืื ืึทืจืืขื ืืืฉืืืืืขืก ืืื ืืขืคึฟืื ืขื ืึทืืข ืื ืฆืืืขืืจืืื ืืืึทืื ืขืจืึทืืืืืืื:
LFI/RFI
ืืขืจ ืกืงืึทื ื ืขืจ ืืขืคึฟืื ืขื ืึทืืข ืื ืึทื ืืขืจืืืืื ื ืืืึทืื ืขืจืึทืืืืืืื:
ืืื ืึทืืืขืืืื, ืืจืึธืฅ ืคืึทืืฉ ืคึผืึทืืึทืืืืื ืืื ืคืขืื ืืืง ืืืึทืื ืขืจืึทืืืืืืื, Wapiti, ืืื ืึท ืคืจืื ืืขืฆืืึทื, ืืืืึทืื ืฉืืื ืืื ืคืึธืจืฉืืขืืื ื ืจืขืืืืืึทืื. ืืื ืงืืื ืคืึทื, ืขืก ืืื ืืืขืจื ืืขืจืงืขื ืขื ืึทื ืื ืกืงืึทื ืขืจ ืืื ืืึทื ืฅ ืฉืืึทืจืง, ืคืืขืงืกืึทืืึทื ืืื ืืืืืืคืื ืงืืืึธื ืึทื, ืืื ืจืืึฟ ืืืคึผืึธืจืืึทื ืืื, ืขืก ืืื ืคืจืื, ืึทืืื ืขืก ืืื ืื ืจืขืื ืฆื ืืืื ืืขืืืืื ื ืืื ืืขืืคึผืื ื ืึทืืืื ืืกืืจืึทืืึธืจืก ืืื ืืขืืืขืืึธืคึผืขืจืก ืฆื ืืึทืงืืืขื ืืงืขืจืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืืืืขืจืืืื ืกืืึทืืืก ืคืื ืึท ืืืขื. ืึทืคึผืืึทืงืืืฉืึทื.
ืืืืึทืื ืืขืืื ื ืืื ืคึผืจืึธืืขืงืืขื!
ืืงืืจ: www.habr.com