maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/pentesting-web/rsql-injection.md'] to af

Browse Source
This commit is contained in:
Translator 2025-04-15 00:02:19 +00:00
parent 28b8d8e121
commit 9a9dd4a30a
1 changed files with 6 additions and 6 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

12
src/pentesting-web/rsql-injection.md
View File

@ -10,7 +10,7 @@
RSQL is 'n navraagtaal wat ontwerp is vir geparametriseerde filtrering van insette in RESTful APIs. Gebaseer op FIQL (Feed Item Query Language), oorspronklik gespesifiseer deur Mark Nottingham vir die navraag van Atom feeds, val RSQL op vir sy eenvoud en vermoë om komplekse navrae op 'n kompakte en URI-konforme manier oor HTTP uit te druk. Dit maak dit 'n uitstekende keuse as 'n algemene navraagtaal vir REST eindpunt soektogte.
## Oorsig
RSQL Injection is 'n kwesbaarheid in webtoepassings wat RSQL as 'n navraagtaal in RESTful APIs gebruik. Soos [SQL Injection](https://owasp.org/www-community/attacks/SQL_Injection) en [LDAP Injection](https://owasp.org/www-community/attacks/LDAP_Injection), gebeur hierdie kwesbaarheid wanneer RSQL-filtre nie behoorlik gesuiwer word nie, wat 'n aanvaller toelaat om kwaadwillige navrae in te voeg om data sonder toestemming te bekom, te wysig of te verwyder.
RSQL Injection is 'n kwesbaarheid in webtoepassings wat RSQL as 'n navraagtaal in RESTful APIs gebruik. Soos [SQL Injection](https://owasp.org/www-community/attacks/SQL_Injection) en [LDAP Injection](https://owasp.org/www-community/attacks/LDAP_Injection), gebeur hierdie kwesbaarheid wanneer RSQL filters nie behoorlik gesaniteer word nie, wat 'n aanvaller toelaat om kwaadwillige navrae in te voeg om data sonder toestemming te verkry, te wysig of te verwyder.
## Hoe werk dit?
RSQL laat jou toe om gevorderde navrae in RESTful APIs te bou, byvoorbeeld:
@ -88,7 +88,7 @@ Hierdie parameters help om API-antwoorde te optimaliseer:
| `search` | Voer 'n meer buigsame soektog uit | `/api/v2/posts?search=technology` |
## Inligtingslek en opsporing van gebruikers
Die volgende versoek toon 'n registrasie-eindpunt wat die e-posparameter vereis om te kontroleer of daar enige gebruiker geregistreer is met daardie e-pos en 'n waar of vals terug te gee, afhangende van of dit in die databasis bestaan:
Die volgende versoek toon 'n registrasie-eindpunt wat die e-posparameter vereis om te kontroleer of daar enige gebruiker geregistreer is met daardie e-pos en om 'n waar of vals terug te gee, afhangende van of dit in die databasis bestaan of nie:
### Versoek
```
GET /api/registrations HTTP/1.1
@ -238,7 +238,7 @@ Vary: Access-Control-Request-Method
Vary: Access-Control-Request-Headers
Access-Control-Allow-Origin: *
```
We gebruik weer die filters en spesiale operators wat ons 'n alternatiewe manier sal bied om die inligting van die gebruikers te verkry en die toegangbeheer te ontduik.
We gebruik weer die filters en spesiale operateurs wat ons 'n alternatiewe manier sal bied om die inligting van die gebruikers te verkry en die toegangbeheer te omseil.
Byvoorbeeld, filter volgens die *gebruikers* wat die letter “*a*” in hul gebruiker *ID* bevat:
### Request
```
@ -348,7 +348,7 @@ Access-Control-Allow-Origin: *
"data": []
}
```
Deur sekere operators te gebruik, kan ons administrateur gebruikers opnoem:
Gebruik sekere operators kan ons administrateur gebruikers opnoem:
### Versoek
```
GET /api/companyUsers?include=role&filter[companyUsers]=user.id=='94****************************' HTTP/1.1
@ -459,7 +459,7 @@ Access-Control-Allow-Origin: *
}, {
.......
```
## Imiteer of Onveilige Direkte Objektverwysings (IDOR)
## Imiteer of Onveilige Direkte Objekt Verwysings (IDOR)
Benewens die gebruik van die `filter` parameter, is dit moontlik om ander parameters soos `include` te gebruik wat toelaat om sekere parameters (bv. taal, land, wagwoord...) in die resultaat in te sluit.
In die volgende voorbeeld word die inligting van ons gebruikersprofiel getoon:
@ -572,6 +572,6 @@ Access-Control-Allow-Origin: *
```
## Verwysings
- [RSQL Injection](https://owasp.org/www-community/attacks/RSQL_Injection)
- [RSQL Injection Exploitatie](https://m3n0sd0n4ld.github.io/patoHackventuras/rsql_injection_exploitation)
- [RSQL Injection Exploitation](https://m3n0sd0n4ld.github.io/patoHackventuras/rsql_injection_exploitation)
{{#include ../banners/hacktricks-training.md}}