(A3) Injection - SQL Injection (Mitigation) - Webgoat

1. Try it! Writing safe code 1

• Ta lần lượt điền các từ sau để hoàn thành câu lệnh: getConnection, PreparedStatement, prepareStatement, ?, ?, setString, setString. Nhấn Submit:

2. Try it! Writing safe code 2

• Nhập đoạn code sau để kết nối với database và bấm Submit:

try{
Connection ct = null;
ct=DriverManager.getConnection (DBURL, DBUSER, DBPW);
PreparedStatement ps=ct.prepareStatement("select * from users where name=?"); ps.setString(1,"3");
ResultSet rs=ps.executeQuery();}
catch(Exception e)
{
System.out.println("PseudoTime");
}

3. Input validation alone is not enough 1 !!

• Ta nhập đoạn code sau và nhấn Get Account Info:

';/**/SELECT/**/*/**/FROM/**/user_system_data/**/WHERE/**/1/**/=/**/1;/**/--

4. Input validation alone is not enough 2!!

• Ta nhập đoạn code sau và nhấn Get Account Info:

';/**/SELSELECTECT/**/*/**/FRFROMOM/**/user_system_data/**/WHERE/**/1/**/=/**/1;/**/--

5. IP address webgoat-prd server

• Mở WebGoat trên trình duyệt của Burp Suite: Còn tiếp.....