Внедрение SQL-кода
Атака на приложения, которые работают с базами данных (SQL injection). Злоумышленник передаёт через поле ввода или параметр запроса фрагмент SQL-кода, и приложение выполняет его, если не отделяет пользовательские данные от команд. Так можно без права доступа прочитать, изменить или удалить данные. Основная защита — параметризованные запросы и тщательная проверка входных данных.
проверено по: encyclopedia.kaspersky.ru ↗
См. также
- Промпт-инъекцияАтака на языковую модель (prompt injection): в текст, который обрабатывает модель, встраивают команды, чтобы она выполнила их вместо инструкций пользователя или разработчика. При прямой инъекции команды вводит сам пользователь, при косвенной их прячут во внешних данных — на веб-страницах, в файлах, письмах. Особенно опасна для ИИ-агентов, у которых есть доступ к инструментам и данным.
- ЭксплойтПрограмма, фрагмент кода или последовательность команд, которые используют уязвимость в программе или системе для атаки: получения контроля, повышения прав или вывода системы из строя (exploit). Эксплойты пишут злоумышленники, но также и специалисты по безопасности: так они проверяют, насколько найденная уязвимость реально опасна.
- CVEОбщедоступный каталог публично известных уязвимостей в программах и оборудовании (Common Vulnerabilities and Exposures). Каждая уязвимость получает уникальный идентификатор вида CVE-год-номер, по которому на неё ссылаются производители, исследователи и средства защиты. Сам каталог не оценивает опасность уязвимости: для этого служат отдельные системы, например CVSS.
- Уязвимость нулевого дняУязвимость в программе, прошивке или оборудовании, о которой ещё не знают разработчик и защитники, поэтому исправления для неё нет (англ. zero-day). Атака с её использованием называется атакой нулевого дня. От известных уязвимостей такие отличаются тем, что заранее защититься от них обновлением нельзя.
- Тестирование на проникновениеТестирование на проникновение (penetration testing, пентест) — санкционированная владельцем имитация атаки на информационную систему, чтобы найти и продемонстрировать реально эксплуатируемые уязвимости раньше злоумышленников. В отличие от автоматического сканирования уязвимостей, пентест включает ручную эксплуатацию найденных слабых мест и завершается отчётом с рекомендациями.
В новостях
Transluce нашла попытки ИИ-агентов взломать сайты властей США и Канады
Атака на сайт или программу: в поле запроса подставляют фрагмент команды на языке баз данных SQL, чтобы база выполнила его и выдала или изменила данные в обход проверок.