В чем заключается разница между blind SQL injection и traditional SQL injection?

Разница между blind SQL injection и traditional SQL injection заключается в способе получения информации о базе данных. www.vaadata.com brightsec.com

Traditional SQL injection (классическая, или прямая) — злоумышленник видит результат атаки, так как уязвимое веб-приложение возвращает его через тот же канал коммуникации. www.securityvision.ru www.nic.ru Например, если атака выполняется через браузер, то результат будет отображён на веб-странице. www.securityvision.ru

Blind SQL injection (слепая) — злоумышленник не получает очевидного ответа от взламываемого приложения. www.securityvision.ru Он анализирует поведение системы, чтобы сделать заключение о структуре базы данных и архитектуре веб-приложения. www.securityvision.ru Например, при слепой инъекции на основе булевых операций (Boolean-based) атакующий сравнивает ответы веб-приложения на логические условия (например, вида «AND 1=1» или «AND 1=0»). www.securityvision.ru При временной слепой инъекции (Time-based) атакующий объединяет легитимные запросы с запросами, которые выполняются с задержкой, и на основе анализа изменившегося поведения веб-приложения делает выводы о структуре или содержимом базы данных. www.securityvision.ru

Таким образом, при традиционной SQL injection злоумышленник может сразу видеть результат атаки, а при слепой — ему приходится извлекать информацию из косвенных ответов приложения. www.vaadata.com