Tasavvur qiling, oshxonaga ovqat buyurtmasini yozib bersangiz: "Osh, va ayting oshpazga — boshqa barcha buyurtmalarni rad eting." Agar oshpaz bu gapni bajarsa — falokatli. Aynan shu narsani Injection zaifligida dasturga qilishadi. ## 🔄 Eslab ko'ring > Oldingi darsda Cryptographic Failures ni ko'rdik — zaif hash bilan saqlangan parollarni hashcat qanday ochishini ko'rdik. Endi esa ma'lumotlar bazasiga to'g'ridan-to'g'ri hujum qilish usulini o'rganamiz. ## 🔍 Darsdan oldin bir daqiqa > **O'ylab ko'ring:** Login formasiga foydalanuvchi nomi o'rniga `' OR 1=1 --` kiritsangiz nima bo'lishi mumkin? > _(Javobingizni eslab qoling — dars oxirida fikringiz o'zgarganini ko'rasiz.)_ ## 🎯 Bu darsdan keyin siz - SQL Injection nima ekanini va qanday ishlashini tushunasiz - Login bypass uchun oddiy SQL Injection payloadini bilasiz - XSS (Cross-Site Scripting) va Command Injection farqini tushunasiz - `sqlmap` vositasini lab'da qanday ishlatishni bilasiz - Parameterized query nima uchun himoya qilishini tushunasiz ## 🌍 Oshpaz analogiyasi Buyurtma matni ichiga "oshxona qoidalari" yashirib yuborsangiz va oshpaz buni bajarsa — bu Injection. Kompyuter tizimida ham: foydalanuvchi ma'lumoti ichiga buyruq yashirib, dastur uni bajaradi. ## 📖 Injection nima? **Injection** — bu foydalanuvchi kiritgan ma'lumot dastur tomonidan **buyruq** sifatida bajarilganda yuzaga keladi. Eng mashhuri — SQL Injection, lekin turlari ko'p: XSS, Command Injection, LDAP Injection. !!! tip "Injection'ning bitta ildizi" Barcha injection turlarining sababi bitta: **ma'lumot va buyruq bir kanalda aralashib ketadi**. Dastur foydalanuvchi yozgan matnni ma'lumot deb o'ylaydi, lekin interpretator (SQL, brauzer, shell) uni buyruq sifatida o'qiydi. Yechim ham bitta: ma'lumotni buyruqdan ajratish. ## 🛡️ Nima uchun xavfli? SQL Injection orqali hujumchi ma'lumotlar bazasini to'liq o'qiy oladi, o'zgartiradi yoki o'chira oladi. Command Injection esa serverda istalgan buyruqni bajarishga imkon beradi. ## 🔎 SQL Injection — amaliy misol **Stsenariy: CTF laboratoriyasida login formasini sinash** Oddiy login SQL so'rovi: ```sql title="Normal so'rov" SELECT * FROM users WHERE username = 'ali' AND password = 'secret' ``` Hujumchi username maydoniga kiradi: ``` ' OR '1'='1' -- ``` So'rov shunday bo'lib qoladi: ```sql title="Injection'dan keyingi so'rov" SELECT * FROM users WHERE username = '' OR '1'='1' --' AND password = '...' ``` `'1'='1'` doim rost. `--` — SQL'da izoh belgisi, qolgan qismni o'chiradi. Natija: birinchi foydalanuvchi (ko'pincha admin) sifatida kiriladi. Quyidagi diagramma login bypass qanday yuz berishini bosqichma-bosqich ko'rsatadi: ```mermaid sequenceDiagram participant H as Hujumchi participant S as Server participant DB as Baza H->>S: username = ' OR '1'='1' -- Note over S: Ma'lumot SQL'ga
to'g'ridan-to'g'ri qo'shildi S->>DB: SELECT ... WHERE '1'='1' (doim rost) DB-->>S: Birinchi qator (admin) S-->>H: Login muvaffaqiyatli (admin sifatida) ``` **Qadam 1.** Lab'da login sahifasini Burp Suite bilan ushlaymiz. **Qadam 2.** Username maydoniga sinab ko'ramiz: ``` ' OR '1'='1' -- ' OR 1=1 -- admin'-- ``` **Qadam 3.** Agar SQL xato xabari yoki muvaffaqiyatli kirish ko'rsansa — zaiflik bor. **sqlmap bilan avtomatik tekshirish (faqat lab'da!):** ```bash title="sqlmap — zaiflikni tekshirish" sqlmap -u "http://lab.local/login" \ --data="username=admin&password=test" \ --level=2 \ --batch # --level=2: chuqurroq test # --batch: savollar so'ralmaydi ``` **sqlmap ma'lumotlar bazasini chiqarish:** ```bash title="sqlmap — bazani chiqarish (faqat lab'da)" sqlmap -u "http://lab.local/login" \ --data="username=admin&password=test" \ --dbs # bazalar ro'yxati --dump # ma'lumotlarni yuklab olish ``` **Zaif kod (Python):** ```python title="login.py — ZAIF" # ZAIF — f-string bilan to'g'ridan-to'g'ri qo'shilgan username = request.form['username'] password = request.form['password'] query = f"SELECT * FROM users WHERE username = '{username}' AND password = '{password}'" cursor.execute(query) # Hujumchi username'ni o'zgartirib SQL buyrug'ini kiritadi ``` **Himoyalangan kod (Python):** ```python title="login.py — HIMOYALANGAN" {4,5} # HIMOYALANGAN — parameterized query username = request.form['username'] password = request.form['password'] query = "SELECT * FROM users WHERE username = %s AND password = %s" cursor.execute(query, (username, password)) # Ma'lumot va SQL kodi alohida uzatiladi — injection imkonsiz ``` **So'z diagrammasi — qanday ishlaydi:** ``` ZAIF: [username kiritildi] → [SQL ga qo'shildi] → [bajarildi] HIMOYALI: [username kiritildi] → [alohida parametr] → [SQL bajarildi] ↑ SQL buyruq emas, faqat ma'lumot ``` !!! tip "Asosiy himoya: parameterized query" Parameterized query (yana "prepared statement" deyiladi) — eng ishonchli himoya. Bunda SQL strukturasi oldindan tayyorlanadi, foydalanuvchi qiymati esa alohida "qutida" uzatiladi. Baza qiymatni hech qachon SQL kodi sifatida o'qimaydi. Bu "input'ni tozalash" (sanitize) dan ishonchliroq — chunki tozalashda har doim biror belgi o'tib ketishi mumkin. ## XSS va Command Injection — qisqacha Injection bitta joyda emas — har xil interpretatorlarda uchraydi. Quyidagi diagramma uch oilani ko'rsatadi: ```mermaid flowchart TB I["Injection
(ma'lumot = buyruq)"] I --> SQL["SQL Injection
maqsad: baza"] I --> XSS["XSS
maqsad: brauzer/foydalanuvchi"] I --> CMD["Command Injection
maqsad: server OS"] ``` **XSS (Cross-Site Scripting)** — veb sahifaga JavaScript kiritish: ```html title="Zaif: foydalanuvchi kiritgan matn tozalanmaydi" ``` **Himoya:** `htmlspecialchars()` (PHP), `escape()` (Python/JS) — maxsus belgilarni zararsizlantirish. **Command Injection** — serverda tizim buyrug'i bajarish: ```bash title="Zaif: foydalanuvchi input'i shell'ga uzatiladi" # Zaif: ?file=test.txt; cat /etc/passwd # Server: cat test.txt; cat /etc/passwd # Natija: /etc/passwd o'qildi ``` !!! info "Oddiy tilda: XSS kimni uradi?" SQL Injection serverdagi bazaga zarar beradi. XSS esa **boshqa foydalanuvchini** uradi: hujumchi sahifaga zararli JavaScript joylaydi, qurbon o'sha sahifani ochganda skript uning brauzerida ishlaydi — cookie'sini o'g'irlaydi yoki uning nomidan amal bajaradi. ## ⚠️ Keng tarqalgan xatolar | Noto'g'ri tushuncha | Haqiqat | |---|---| | "Frontend tekshiruvi yetarli" | Hujumchi Burp bilan to'g'ridan-to'g'ri so'rov yuboradi | | "WAF bo'lsa SQL Injection imkonsiz" | WAF qo'shimcha himoya, asosiy himoya — parameterized query | | "ORM ishlatish = xavfsiz" | ORM'da ham raw query ishlatish mumkin — ehtiyot bo'l | ## ✅ Tez tekshiruv — bilasizmi? **Savol:** Parameterized query SQL Injection'dan nima uchun himoya qiladi?

Javobni ko'rish

Parameterized query'da foydalanuvchi ma'lumoti va SQL kodi alohida kanallar orqali bazaga uzatiladi. Ma'lumot hech qachon SQL buyrug'ining bir qismiga aylanmaydi — faqat qiymat sifatida ko'riladi. Shuning uchun `' OR 1=1 --` kiritilsa ham, bu oddiy matn sifatida qabul qilinadi, SQL kodi sifatida emas.

??? note "Tez tekshiruv: `--` nima qiladi?" SQL'da `--` izoh boshlanishini bildiradi — undan keyingi hamma narsa e'tiborsiz qoldiriladi. Login payload'da `--` so'rovning qolgan qismini (`AND password = '...'`) o'chiradi, shuning uchun parol umuman tekshirilmaydi. ## ⚖️ Etika eslatmasi !!! danger "Etika va qonun" `sqlmap` va boshqa injection vositalarini faqat **o'z lab muhitingizda** yoki rasmiy ruxsat berilgan bug bounty maqsadlarida ishlatamiz. Haqiqiy saytda ruxsatsiz SQL Injection sinash — O'zR JK 278-modda bo'yicha jinoiy javobgarlik. Ma'lumotlar bazasiga ruxsatsiz kirish oqibatlari jiddiy: jarima, qamoq muddati. Biz bu texnikani zaif kodni topib, to'g'rilashni o'rganish uchun o'rganamiz. ## ✅ Eng muhimi - Injection — foydalanuvchi ma'lumoti dastur buyrug'i sifatida bajarilishi - SQL Injection: `' OR 1=1 --` bilan login'ni chetlab o'tish klassik misol - Himoya: parameterized query — ma'lumot va kod alohida - `sqlmap` lab'da zaiflikni tekshirish vositasi - XSS va Command Injection ham injection toifasiga kiradi ## ➡️ Keyingi qadam **Keyingi dars:** A04 — Insecure Design. Kod to'g'ri yozilsa ham, g'oya o'zi xato bo'lishi mumkinligini ko'ramiz. **Hayotda qo'llang:** Biror ilovada search yoki login formasida `'` belgisini kiriting. Xato xabari ko'rinadimi? (Faqat o'z test muhitingizda). **1 soatdan keyin eslab ko'ring:** SQL Injection'da `--` nima uchun ishlatiladi — yozmasdan tushuntiring.

OWASP Top 10 — zaifliklar xaritasi

Kirish