Individual loyiha mavzu: Web tizimlarda in’eksiya hujumlari va ularni oldini olish usullari

9 
ma’lumotlar bazasiga bevosita kirishi mumkin. Sharma (2005) ma’lumotlariga kо‘ra, 
ikkita asosiy SQL in’ektsiya strategiyasi mavjud. (Kirish sahifasi orqali kirish va URL 
orqali kirish). Birinchi usul, foydalanuvchi autentifikatsiyasi uchun parollar 
qо‘llanilganligi sababli, login turlarini chetlab о‘tish oson. Hujumchilar buni: "yoki" holati, 
"olish" bandi, turli sо‘rovlar va kengaytirilgan saqlangan protsedura orqali amalga 
oshiradilar. Buzg‘unchi ikkinchi usulni bajarishi mumkin: URL manzilidagi savol qatorini 
о‘zgartiring va "SELECT" yoki UNION iboralaridan foydalaning. Ushbu turdagi zaiflik 
jiddiy ekanligini kо‘rsatdi. 
Strukturaviy sо‘rovlar tili (SQL) hujumlari, ma’lumotlar bazasi tizimida SQL 
sorgularini manipulyatsiya qilish orqali amalga oshiriladigan hujumlar hisoblanadi. Bu 
hujumlar orqali, hujumchilar bazaning yozuvlarini о‘zgartirishi, ma’lumotlarni о‘qishishi, 
о‘chirishi, qо‘shishi, hamda ma’lumotlar bazasini buzishlari mumkin. 
Quyidagi bir nechta umumiy SQL hujumlari mavjud: 
SQL Injection (SQL injektsiyasi): Bu hujum, ma’lumotlarni kiritish maydonlariga 
kiritilgan SQL-kodlar orqali bajariladi. Hujumchilar ma’lumotlarni vaqtinchalik bо‘lishi 
kerak bо‘lgan SQL-kodni kiritib, ma’lumotlar bazasidagi bazaning boshqaruv 
operatsiyalarini hujumiy shartlar yaratish yoki ma’lumotlarni о‘zgartirish, о‘chirish uchun 
foydalanishlari mumkin. 
Cross-Site Scripting (XSS): XSS hujumi, ma’lumotlar bazasidagi ma’lumotlarni web-
sahifalarda kо‘rsatish jarayonida sodir bо‘ladi. Hujumchilar, ma’lumotlar bazasida 
saqlangan skriptlarni manbadagi yerni о‘zgartirish orqali, foydalanuvchilarning 
brauzerlarida javob sifatida ishlatilishini amalga oshirishlari mumkin. Bu skriptlar orqali 
hujumchilar о‘zgartirishlar amalga oshirish, hujumni amalga oshirish yoki ma’lumotlarni 
olishlari mumkin. 
Brute Force (Chet elchilik): Bu hujum turi ma’lumotlar bazasidagi foydalanuvchi 
nomi va parolini aniqlovchi kuchli parollar tо‘plamini ishlatish asosida bajariladi. 
Hujumchilar dastlab foydalanuvchi nomi va parolni aniqlovchi sо‘rovlar yuborish orqali 

10 
kirish urinishini tekshirish uchun kuchli parol tо‘plamlarini foydalanishadi. 
Database Enumeration (Ma’lumotlar bazasini korsatish): Hujumchilar ma’lumotlar 
bazasidagi ob’ektlarni (jadvallar, ustunlar va indekslar) aniqlash uchun strukturaviy 
sо‘rovlar (masalan, SHOW TABLES, SHOW COLUMNS, SELECT) ishlatishlari 
mumkin. Bu ma’lumotlar hujumchilarga ma’lumotlar bazasining tuzilishini va 
ma’lumotlarni kiritish uchun zarur bо‘lgan maydonlarni aniqlashda yordam beradi. 
Database Privilege Escalation (Ma’lumotlar bazasi huquqiy kо‘tarilishi): Bu hujum 
turi ma’lumotlar bazasidagi foydalanuvchi tomonidan ma’lumotlarga yoki bazaning 
boshqaruv operatsiyalariga kirish huquqining qaytarilishi orqali amalga oshiriladi. 
Hujumchilar foydalanuvchining о‘zinga etarli bо‘lmagan huquqini yuksaltish orqali 
ma’lumotlarni о‘qish, о‘zgartirish, о‘chirish yoki bazaning boshqaruv operatsiyalarini 
amalga oshirishlari mumkin. 
Birlamchi xavfsizlik muammosi ma’lumotlar bazasi tomonidan qо‘llab-
quvvatlanadigan veb-ilovalarda SQL in’ektsiya hujumi (SQLIA) tomonidan yuzaga keladi. 
Ushbu ekspluatatsiya tajovuzkorlarga ilovaning asosiy ma’lumotlar bazasiga va 
ma’lumotlar bazalaridagi potentsial maxfiy ma’lumotlarga osongina kirish imkonini 
beradi. Xaker ma’lumotlar bazasi tarkibiga ehtiyotkorlik bilan ishlab chiqilgan kirish orqali 
kirishi mumkin, aks holda kirish mumkin emas. Odatda, bu onlayn ilovalarda 
qо‘llaniladigan SQL bayonotlarini о‘zgartirish orqali amalga oshiriladi. Tadqiqotchilar 
SQLIA ni aniqlash va oldini olishni sinchkovlik bilan о‘rganib chiqdilar va veb-
ilovalarning xavfsizligi tufayli kо‘plab yondashuvlarni yaratdilar. 
Internetdan onlayn xizmatlar kо‘rsatish uchun foydalanilganligi sababli, veb-
xavfsizlik xavfi har kuni keskin о‘sib bormoqda. SQL in’ektsiyasi onlayn ilovalardagi eng 
muhim va xavfli zaifliklardan biridir. SQL in’ektsiya hujumi zararli SQL sо‘rovining bir 
qismi bekor qilingan foydalanuvchi yozuvi orqali yuridik sо‘rov bayonotiga kiritilganda 
sodir bо‘ldi. Bu shunday kо‘rsatmalarning bajarilishiga va SQL in’ektsiyasiga olib keladi. 
Ma’lumotlar bazasini boshqarish tizimining Maxfiyligi, yaxlitligi va ma’lumotlar 

11 
bazasidagi ma’lumotlarning mavjudligi muvaffaqiyatli SQL in’ektsion hujumlariga xalaqit 
berdi. 
Internetning rivojlanishi bilan kо‘pchilik odamlar Internetda tranzaksiyalarni amalga 
oshiradilar, masalan, ma’lumotlarni о‘rganish, bank, xarid qilish, boshqarish, tо‘g‘on va 
tijorat almashinuvlarini kuzatish va boshqarish va boshqalar. Veb-ilovalar kо‘plab 
odamlarning kundalik hayotiga moslashgan. Veb-ilovalarning xavf-xatarlari kengayib, 
ulkan kengayishni о‘z ichiga oldi. Ayni paytda har kuni zaifliklar qanchalik kamaysa, 
tahdidlar soni shunchalik kо‘p bо‘ladi. 
SQLIA onlayn ilovalar uchun xavflarning eng muhim xavflaridan biridir. Strukturaviy 
sо‘rovlar - bu in’ektsiya hujumi - SQL veb-asosidagi in’ektsiya hujumini tekshirishda 
kamchiliklarning yо‘qligi. SQLIA - bu inkor etilgan SQL deklaratsiyasi orqali 
ma’lumotlarga asoslangan ilovalarni suiiste’mol qilishni о‘z ichiga olgan xavfli kasallikdir. 
Bu zaiflik tajovuzkorga ma’lumot almashish imkonini beradi. Belgilangan kirishga rioya 
qilish orqali ilovalarning ma’lumotlar bazalari bilan о‘zaro ta’siri. Shuning uchun 
ma’lumotlar bazasiga kirishni kiritish, о‘zgartirish yoki yо‘li bilan olish mumkin. 

Download 0,54 Mb.