Elias Praciano

Como prevenir-se de ataques SQL Injection (explicado com um exemplo)

eliaspraciano — Tue, 07 Feb 2012 19:47:00 +0000

Este artigo explica o básico do SQL Injection (Injeção de SQL), com um exemplo que mostra como ele se dá e provê métodos de prevenção a estes ataques
Tal como o nome sugere, este ataque pode ser feito através de queries SQL. Muitos programadores não têm idéia de como um agressor pode usar uma query. Basicamente, um SQL Injection pode ser feito em uma aplicação web que não efetue a filtragem apropriada dos dados fornecidos pelos usuários, confiando em tudo que ele digita – o que pode ser uma requisição SQL não prevista pelo idealizador do software.
Os exemplos mencionados aqui foram testados com os seguintes softwares:

PHP 5.3.3-7
Apache/2.2.16
Postgresql 8.4

Um exemplo de SQL Injection

Vamos começar pelo fato de que muitas aplicações web têm uma página de autenticação. Vamos usar o código seguinte, como um exemplo:

index.html

SQL Injection Demo

Login Page

User Name:

Password:

Ao fornecer o nome de usuário (user_name) e senha (pass_word), seus valores são postados em login.php via HTTP_POST.

login.php

$Host= ’192.168.1.8′;
$Dbname= ‘john’;
$User= ‘john’;
$Password= ‘xxx’;
$Schema = ‘test’;

$Conection_string=”host=$Host dbname=$Dbname user=$User password=$Password”;

/* Conecta ao banco de dados e pede uma nova conexão*/
$Connect=pg_connect($Conection_string,$PGSQL_CONNECT_FORCE_NEW);

/* Erro ao verificar a string de conexao */
if (!$Connect) {
echo “Falha ao conectar ao banco de dados”;
exit;
}

$query=”SELECT * from $Schema.users where user_name=’”.$_POST['user_name'].”‘ and password=’”.$_POST['pass_word'].”‘;”;

$result=pg_query($Connect,$query);
$rows = pg_num_rows($result);
if ($rows) {
echo “Sucesso ao logar!”;
}
else {
echo “Não foi possivel logar.”;
}
?>

Pois bem. A linha 19, no código acima, é vulnerável a uma ataque (me refiro à linha que começa com “$query=”SELECT *…”). Trata-se de uma requisição cujo objetivo é encontrar no banco de dados o nome e a senha fornecidos pelo usuário. Tudo vai funcionar bem se forem fornecidos dados corretos e válidos. Contudo, um usuário malicioso pode fornecer outro tipo de informação ao sistema.
No campo nome do usuário, em vez de digitar o que se espera, ele pode digitar o seguinte:
' or 1=1;--
e deixar o campo senha em branco.
Ao clicar em submit, as informações serão postadas em login.php, onde a requisição será vista como:
SELECT * from test.members where user_name='' or '=';--' and password='';
O que se vê acima é uma requisição SQL plenamente válida. No postgresql o — é um indicador de início de um comentário, ou seja, tudo o que vier depois deste caractere será ignorado. O que será executado é o seguinte:
select * from test.members where user_name='' or '=';
o que será verdadeiro (true) e retornará a mensagem “Login Success”.
Caso o agressor conheça os nomes das tabelas contidas no banco de dados, ele poderá apagar as tabelas com a seguinte entrada, no campo nome do usuário:
';drop table test.lop;--
Alguns scripts de autenticação tendem a agir da seguinte forma:

Guardar as senhas no formato md5.
Selecionar primeiro o nome,senha no banco de dados, com base no que foi fornecido pelo digitador.
Formatar em md5 a senha fornecida e compará-la com a senha no banco.
caso sejam iguais, a autenticação segue adiante.

Vejamos como contornar isto, no caso de a query ser vulnerável a um SQL-Injection.

login.php

$Host= ’192.168.1.8′;
$Dbname= ‘john’;
$User= ‘john’;
$Password= ‘xxx’;
$Schema = ‘test’;

$Conection_string=”host=$Host dbname=$Dbname user=$User password=$Password”;

/* Conecta ao banco de dados e pede nova conexão */
$Connect=pg_connect($Conection_string,$PGSQL_CONNECT_FORCE_NEW);

/* Erro ao verificar a string de conexao */
if (!$Connect) {
echo “Falha ao conectar ao banco de dados”;
exit;
}

$query=”SELECT * from $Schema.users where user_name=’”.$_POST['user_name'].”‘ and password=’”.$_POST['pass_word'].”‘;”;

$result=pg_query($Connect,$query);
$rows = pg_num_rows($result);
if ($rows) {
echo “Sucesso ao logar!”;
}
else {
echo “Erro ao logar.”;
}
?>

Agora digite o seguinte no campo nome de usuário:

' UNION ALL SELECT 'laksh','202cb962ac59075b964b07152d234b70
em seguida, entre “123″ no campo senha e clique em submit, sabendo que md5(123) é igual a 202cb962ac59075b964b07152d234b70.
Agora, a query vai se expandir para
SELECT user_name,password from test.members where user_name='' UNION ALL SELECT 'laksh','202cb962ac59075b964b07152d234b70';
e quando for executada, o banco de dados vai retornar ‘laksh’ como nome de usuário e ’202cb962ac59075b964b07152d234b70′ como senha. E, uma vez que postamos “123″, no campo pass_word, o strcmp vai retornar 0 e a autenticação ocorrerá com sucesso.
O que se vê, acima, são algumas das inúmeras possibilidades de ataques SQL Injection. Seguem, abaixo, algumas coisas que podem ser feitas para reduzir as possibilidades de ataques:

Sempre verificar o que é digitado (nunca confie no que o usuário vai digitar);
Se você espera que se digite um nome de usuário em um determinado campo, certifique-se de que ele contenha apenas caracteres alfanuméricos;
Elimine ou filtre caracteres especiais e entradas possivelmente maliciosas dos usuários;
Use expressões preparadas para executar as requisições;
Não permita que várias requisições sejam feitas em uma única expressão;
Não deixe vazar informações sobre o banco de dados através das mensagens de erro, etc…

Esta é uma tradução livre do artigo original, de Lakshmanah Ganapathy, que pode ser encontrado http://miud.in/1aYd

16 atalhos de teclado pro Ubuntu

eliaspraciano — Wed, 16 Nov 2011 13:15:07 +0000

Segue a lista de atalhos, testados no Ubuntu 11.10 Oneiric Ocelot:

Ctrl + Alt + T: Abre um terminal.
Ctrl + Alt + L: Bloqueia a tela.
Ctrl + Alt + Delete: Encerra a sessão atual.
Ctrl + Alt + Esquerda/Direita/pra Cima/pra Baixo: Muda a área de trabalho na direção apontada.
Shift + Ctrl + Alt + Esquerda/Direita/pra Cima/pra Baixo: Leva a janela do aplicativo atual para outra área de trabalho.
Meta: Ao mantê-lo pressionado, focaliza o lançador do Unity (painel à esquerda) e exibe os ícones numerados dos programas no lançador. Ao pressionar a tecla Meta (aquela que tem uma janelinha desenhada…) em conjunto com um número, o programa referente àquele número se abrirá.
Meta: Com toque simples, ele abre o lançador no modo de busca. É possível fazer uma pesquisa por outros aplicativos no seu sistema que não estejam disponíveis na barra lateral do lançador. Dependendo da configuração do seu sistema, esta forma do atalho só funcionará sobre a área de trabalho vazia.
Meta + T: Abre a pasta com o conteúdo da lixeira (Trash).
Meta + W: Modo Expo – exibe todos os aplicativos abertos, em todas as áreas de trabalho.
Meta + S: Modo Expo das áreas de trabalho. Exibe todas as áreas de trabalho, como elas estão. Os aplicativos minimizados não serão vistos. No lançador há um ícone para esta função.
Alt + Tab: Este é um velho conhecido. Faz o mesmo de sempre, ou seja, alterna entre os aplicativos abertos (inclusive os minimizados). Existe a variação para este atalho, com a tecla Shift [Alt + Shift + Tab], que inverte a ordem com que os aplicativos “circulam” dentro do alternador de programas. Abra vários aplicativos e veja por si mesmo.
Alt + ‘: Outra forma de acessar o alternador, é usar a tecla das aspas simples (‘). Dependendo do seu teclado, ela compartilha a tecla das aspas (“) e está logo acima da tecla Tab. É comumente usada como apóstrofo.
- Este atalho serve para alternar entre 2 ou mais janelas do mesmo programa. Se quiser ver como funciona, dê um Ctrl + N no seu navegador, agora, e experimente o atalho Alt + ‘.
Alt + F4: Fecha a janela do aplicativo atual.
Alt + F7: Permite movimentar a janela do aplicativo atual.
Alt + F8: Permite reajustar o tamanho da janela atual.
Alt + F2: Abre o painel run, que permite digitar e executar rapidamente um comando.

Personalize o Unity – tamanho dos ícones

eliaspraciano — Thu, 03 Nov 2011 18:36:17 +0000

O Unity trouxe, em relação às interfaces gráficas anteriores no Ubuntu, uma novidade: O lançador (launcher). A partir dele, é possível ter acesso rápido aos seus aplicativos favoritos. Ele é facilmente configurável no sentido de substituir os ícones indesejados por outros que sejam mais adequados ao seu estilo.

Pra quem usa um netbook ou um tablet, que têm telas de tamanho muito reduzido, contudo, há dois problemas:

O Lançador parece ocupar um espaço muito grande na tela, pra quem já tem pouco.
O tamanho dos ícones prejudica a distribuição do espaço para quem deseja ter mais do que 10 aplicativos representados ali.

Vou ensinar, aqui, como reduzir a largura do lançador e o tamanho dos ícones. Devo advertir que as alterações de que vamos tratar aqui são experimentais, até a presente data. Podem, portanto, trazer alguma instabilidade ao seu ambiente. O recomendável é não aplicar estas mudanças em máquinas de trabalho. Você foi avisado.

Antes de tudo, é necessário instalar o Gerenciador de Configurações do Compiz. Abra um terminal e digite o seguinte comando (e dê Enter, em seguida):

sudo apt-get install compizconfig-settings-manager

Posicione o ponteiro do mouse sobre o lançador, clique no ícone do Painel inicial e, em seguida clique em “Gerenciador de Configurações do Compiz”.

Dentro do Gerenciador de Configurações do Compiz, selecione a guia “Área de trabalho”, no menu vertical à direita e, dentro do painel central, selecione Ubuntu Unity Plugin.

Selecione a guia horizontal “Experimental” e, dentro do painel localize a opção Launcher icon size (tamanho do ícone do lançador) e altere o valor para algo entre 32 e 64. Estes são, respectivamente, o menor e o maior valores possíveis. Sendo que 32 é o ideal para a tela de um netbook ou um tablet, que têm telas com espaço muito limitado.

Como você pode ver, há outras alterações possíveis. Desde que você não esteja usando uma máquina de produção/trabalho, pode ser interessante conhecê-las. Quando terminar de alterar as configurações, clique no botão “Voltar”, no canto inferior esquerdo e, em seguida, em “Fechar”.

Você vai precisar reiniciar a sessão para ver o funcionamento destas alterações. Para tanto, use a combinação de teclas Ctrl + Alt + Del e selecione Encerrar a sessão. Digite a sua senha para entrar de novo e ver que a barra lateral do lançador, com seus ícones, está menor.

Se tudo fugiu do controle, você pode voltar à configuração original do Unity digitando o comando:

unity –reset

dentro de um terminal.

Instale um servidor Linux, Apache, MySQL e PHP (LAMP) – com apenas um comando.

eliaspraciano — Tue, 01 Nov 2011 23:49:11 +0000

Com um servidor LAMP, é possível aprender a programar PHP, com o uso de um banco de dados MySQL. Aqui, partimos do pressuposto de que você está usando uma máquina com Linux (Ubuntu, para ser mais específico).
O trabalho será feito com o tasksel um aplicativo de instalação de softwares que é parte integrante do instalador do Debian e também funciona no Ubuntu. Ele agrupa os pacotes de softwares necessários para realizar determinadas tarefas e permite personalizar a sua instalação a partir das atividades que vocẽ deseja que sejam realizadas na máquina.
Com o tasksel, o administrador seleciona tarefas e não aplicativos para a instalação.
Como ele não vem instalado por padrão, vamos ter que cuidar disto antes de tudo. Abra um terminal, pressionando simultaneamente as teclas Ctrl + Alt + T e digite:
sudo apt-get install tasksel
Quando o processo de instalação for concluído, rode o tasksel na linha de comando:
sudo tasksel
Na tela que surge, selecione a opção LAMP server, com a barra de espaços do seu teclado e, em seguida, clique em OK.

Durante o processo de instalação será pedido para digitar e confirmar a nova senha de acesso ao servidor MySQL – cabe a você fazer esta escolha.

Testando

Feito isto, resta testar o nosso novo servidor LAMP. Dentro do terminal, digite o seguinte:
gksudo gedit /var/www/teste.php
Digite o seguinte:


phpinfo();
?>
Grave o arquivo e feche o editor. E, na linha de comando do terminal, reinicie o Apache:

sudo apache2ctl restart

Agora abra o seu navegador e acesse o seguinte endereço:

http://localhost/teste.php

Se tudo correu bem, você vai visualizar uma página semelhante à da figura abaixo.



Para tornar a administração do MySQL mais fácil, instale o phpmyadmin:

sudo apt-get install phpmyadmin

Durante o processo de instalação, será pedida uma senha nova para o phpmyadmin e, em seguida, que você informe que o servidor de Internet desejado é o Apache:



Para testar o phpMyAdmin aponte para o seguinte endereço no seu navegador:

http://localhost/phpmyadmin

Se uma página semelhante a esta (abaixo) aparecer, é provável que tudo tenha corrido bem por aqui:


Peraí! Não era só um comando?!
Tenho certeza de que você não achou o processo complicado até aqui. Ainda assim, é possível, sim, simplificar tudo com um só comando.

Um servidor rodando Linux, como sistema operacional (no nosso caso, a distribuição é Ubuntu); Apache, como aplicativo servidor web; MySQL como servidor de banco de dados e, por fim, um interpretador PHP, pode ser instalado de uma vez só com a seguinte linha de comando:

sudo tasksel install lamp-server

Em seguida, teste o serviço e instale o phpmyadmin, conforme foi ensinado acima.



Ubuntu 11.10 – aumentando a duração da sua bateria
eliaspraciano — Mon, 31 Oct 2011 20:36:30 +0000
Instale Jupiter em seu notebook.


Há quem diga que o Jupiter ajuda a poupar energia. Se isto verdadeiramente funciona, só há uma maneira de se saber: experimentando. A instalação é simples. Abra um terminal (Ctrl + Alt + T) e digite (ou copie e cole) a seguinte linha:



sudo add-apt-repository ppa:webupd8team/jupiter

sudo apt-get update

sudo apt-get install jupiter


Se você tem um netbook Asus Eee PC… 
Alguns equipamentos da Marca Asus dispõem de uma tecnologia de optimização de recuros, chamada SHE – Super Hyprid Engine. Se você quiser, pode adicionar suporte a este recurso com a seguinte linha de comando:



sudo apt-get install jupiter-support-eee





44 Novos papéis de parede pra nova versão do Ubuntu
eliaspraciano — Fri, 30 Sep 2011 18:28:59 +0000

Em função do tamanho restrito de um CD, muitos dos papéis de parede sugeridos por usuários ficarão de fora. Mas você pode baixá-los gratuitamente, desde já e usá-los – mesmo que não use o Ubuntu.

Clique aqui  para dar uma olhada e, se quiser, baixar pra conferir.



LibreOffice chega ao seu primeiro aniversário, com 15 milhões de usuários.
eliaspraciano — Thu, 29 Sep 2011 12:04:13 +0000
A conta é feita considerando o fato de que todas as grandes distribuições Linux vêm com a suíte instalada. Mas, se levarmos em conta os 6 milhões de downloads, desde Janeiro/2011, quando se lançou a primeira versão estável e os usuários Windows e OS/X (Apple), o número pode chegar (ou ultrapassar) os 25 milhões de usuários.
Desenvolvimento
O projeto, depois que se separou da Oracle se tornou mais independente e vem atraindo profissionais colaboradores de todas as áreas.

Segundo Charles Shulz, do The Document Foundation (organização responsável pelo projeto), há pelo menos 270 programadores e outros 270 tradutores trabalhando. Há mais de 100 listas de discussão que contam com mais de 15 mil voluntários inscritos que ajudam de diversas formas. Contam, ainda, com milhares de artigos escritos sobre o software, nas mais diversas línguas.
Minha opinião é de que se trata de um excelente trabalho e, no que tange à tradução para o português, é nítida a dedicação dos seus colaboradores.




How about wput to send files to the server?
eliaspraciano — Sat, 23 Apr 2011 18:23:13 +0000
This one is simple. Every time you want to send files to the server using a FTP connection, you can use wput.

If you are in front of an Ubuntu box and don’t have it, just install it:

sudo aptitude install wput

Ah, yes! You can download a Windows version on this site at sourceforge.

To send all files from a local directory to your server you can make this use of the command:

wput --background myfiles ftp://username:password@hostname/recipient-folder/

Where the background option frees your terminal from the verbosity of the command and allows you to do other stuff here. Don’t forget to substitute the other parameters with the correct information. Where:

myfiles: are the file(s) you want to upload. You can surely use things like: *.php or name several files separated by spaces.
username and password: you should know what to put here
recipient-folder: a folder where the files will be sent. If you omit it, they will be written on the root.

Since wput logs everything by default on a local file called wput-log you can check if it all worked fine with cat:

cat wput-log | grep --context 2 -i fail

The command line above should show the files which wput failed to send up to the server. Try also typing

man wput

to know a little more about and have some more fun.



Faça backup dos seus CDs de música, em mp3, com o ripit.
eliaspraciano — Sun, 17 Apr 2011 00:14:15 +0000
O ripit é uma ferramenta em modo texto, de linha de comando, pra ser executada num terminal. Mas não fuja ainda!

É muito fácil usar o ripit. Basicamente, tudo pode se resumir a digitar o comando e dar enter para todas as perguntas (usualmente duas) que ele fizer e ir fazer outra coisa enquanto ele trabalha.

Mas eu não estaria aqui para escrever apenas isto, não é? Tal como muitas ferramentas que podem ser executadas na linha de comando, o ripit é extremamente flexível e oferece um grande poder ao usuário na sua configuração.

O seu arquivo de configuração fica em ~/.ripit/config e é auto explicativo e simples (pra quem sabe inglês). Se você domina o idioma, divirta-se. Tchau!

Se você ainda está aqui é por que deseja que eu facilite um pouco mais as coisas pra você. Vamos a isso!

A lista de comandos que costumo usar com o ripit é a seguinte:

ripit --coder lame --bitrate 320 --lowercase --underscore --verbose 5 --comment "meu backup pessoal" --eject --save

Estas opções têm o seguinte significado:

–coder lame: pede para usar um determinado codificador. Este aí, gera os arquivos mp3. Se você preferir um formato livre/aberto, pode usar oggenc no lugar de lame. Eu costumo usar mais o oggenc.
–bitrate 320: define a “qualidade” dos arquivos. O valor 320 é exagerado para a maioria dos casos e vai contribuir para os arquivos de saída se tornarem muito grandes. Contudo, como não temos a intenção de fazer upload deles, mas guardá-los, pode ser interessante usar este valor. Caso queira compartilhar os seus arquivos, use um valor mais baixo. Um bitrate de 128 kbps é ótimo.
–lowercase e –underscore: fazem com que os_asrquivos_de_saída_tenham_os_seus_nomes_escritos_em_minúsculas e com_palavras_separadas_por_sublinhas.
–verbose 5: liga o modo “tagarela” do ripit no máximo. Ele vai informá-lo de tudo que estiver fazendo. O nível padrão é 3. Se você não quer saber de nada ou não entende inglês, pode desligá-lo, usando o nível 0.
–comment “meu comentario”: entre aspas, sinta-se à vontade pra dizer alguma coisa sobre os arquivos.
–eject: ao final de todo o processo, ejeta o seu CD.
–save: grava todas estas configurações no arquivo ~/.ripit/config. Assim, na próxima vez em que você executar o ripit, só precisará citar o seu nome. Ele vai buscar o restante das configurações no arquivo.

Desta forma, você pode brincar um pouco com as opções do ripit e gravar no arquivo de configuração as suas opções preferidas. Na próxima vez, o simples comando

ripit

vai resolver o problema.



Configurar teclas de atalho no Ubuntu 10.10
eliaspraciano — Wed, 13 Apr 2011 22:57:22 +0000
A maneira mais fácil é clicar em Sistema / Preferências / Atalhos de Teclado e configurar da maneira que achar melhor. Alguns atalhos já existem e podem ser usados do jeito que estão lá. Outros podem ser criados livremente. Como vocẽ pode ver, eu o configurei para que a combinação Mod 4 + Pause ative o meu reprodutor de mídia. Em tempo, a tecla Mod 4 corresponde àquela com o desenho de uma janelinha (em alusão a um certo sistema operacional), à esquerda no seu teclado.

Atalhos de teclado no ubuntu 10.10


Uma outra forma, mais “sofisticada” para configurar os seus atalhos é através do gconf-editor. Para acessá-lo, use o atalho Alt + F2 e digte gconf-editor na caixa de texto. Tecle Enter.Caixa de diálogo para executar um aplicativo


Para explicar rapidamente o meu caso, o meu netbook (obviamente) não tem todas as opções que se costuma ter em teclados maiores. Criar atalhos pode ser uma forma inteligente de contornar a falta das teclas multimídia e outras que tornam a vida mais fácil. O que me faz falta é uma tecla que acione rapidamente a suspensão do equipamento. Decidi que a combinação Ctrl + Alt + Pause seria a ideal para disparar o pm-suspend-hybrid.

Com o gconf-editor aberto, a primeira coisa a ser feita é selecionar apps / metacity / keybinding_commands e clicar em command_1. Preencha o Valor com o comando a ser executado. No meu caso, o gksudo é necessário, uma vez que o pm-suspend-hybrid só roda com privilégios de superusuário (ótimo, por que evita a chatice de suspender a máquina acidentalmente).apps / metacity / keybinding_commands / command_1


Feito isto, escolha a opção acima de keybindings_commands à esquerda: global_keybindings. Na janela grande, à direita, selecione run_command_1 e, na caixa de diálogo, digite a combinação de teclas que deverá disparar o comando.apps / metacity / global_keybindings


Clique Ok e feche o gconf-editor. Experimente, pra ver se funciona.