- 博客(9)
- 收藏
- 关注
RSS订阅原创 SQL注入之其他注入类型
什么是URL编码？URL编码是一种浏览器用来打包表单输入的编码规则。 任何特殊的字符（不是简单的七位ASCII，如汉字和一些字符）将以百分符%用十六进制编码，当然也包括像 = ,&; 等符号，和 % 这些特殊的字符，其实URL编码就是一个字符ASCII码的十六进制，需要在前面加上‘%’。比如“\”，它的ascii码是92，92的十六进制是5c，所以“\”的url编码就是%5c。汉字看“胡”的ascii码是-17670，十六进制是BAFA，URL编码是“%BA%FA”。 ...
2021-09-22 21:20:35
209
1
原创 SQL注入之提交方式注入类型和查询方式注入类型
提交方式类型注入GET方式注入get注入方式比较常见，主要是通过url中传输数据到后台，带入到数据库中去执行，可利用联合注入方式直接注入POST方式注入post提交方式主要适用于表单的提交，用于登录框的注入方法：利用BurpSuite抓包进行重放修改内容进行，和get差别是需要借助抓包工具进行测试，返回结果主要为代码，也可转化为网页显示Request方式注入概念：超全局变量 PHP中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可以用，这些超全局变量是： $
2021-09-17 22:31:06
1091
1
原创 SQL注入之时间延迟型注入
时间延迟型注入原理：利用if函数，执行判断； 如果正确，直接返回（时间很短，网速有一定影响） 如果不正确，执行时间延迟，常用的函数有sleep和benchmark 以上操作也可以反过来。适用环境：界面无法用布尔真假判断，也无法报错注入的情况下。时间延迟注入常用SQL函数介绍if(condition,expr1,expr2)功能：如果condition是true，则if()的返回值是expr1，否则返回值则为expr2，if()的返回值为数字值或字符串，具体情况视其所在语境而定举例：select
2021-09-16 19:25:03
1496
1
原创 SQL注入之报错型盲注详解
报错显示的原理：前提：MYSQL报错信息必须能够在页面回显。原理：通过MYSQL一些函数的限制条件让其报错，产生超出预期的结果，且报错信息中包含重要信息。要求：需要能够知道MYSQL中哪些函数有限制条件，利用限制条件进行报错，需要了解函数原理才知道熟悉运用。分类：基于group by报错注入基于xpath函数报错注入(5.1.1及以上，extractvalue和updatexml)基于double数值类型超出范围报错注入(5.5.5及以上)基于bignt溢出报错注入基于数据重复性报错注入报
2021-09-15 22:21:33
1787
3
原创 SQL注入之布尔型盲注
什么是布尔判断SQL注入？“布尔判断”指的是利用SQL语句**逻辑与(and)**操作，判断and两边的条件是否成立，SQL语句带入输入库查询后判断返回内容（通常返回值仅有非空和空两种状态），类似布尔型的true和false的两种状态。布尔盲注步骤：第1步：确认注入点方法：通过增加 ’ 和增加--+注释符，语句从执行失败变为执行成功判断注入点第2步：判断数据库版本方法：主要因为5.0版本以下没有information_schema数据库，无法进行手动注入； 由于无法回显数据，利用逻辑
2021-09-13 20:46:30
1553
1
原创 SQL注入之盲注
盲注的概念：1.何为盲注：盲注就是在SQL注入过程中，找到注入点后，执行SQL语句后，选择的数据或者错误信息不能回显到前端页面。需要利用一些方法进行判断或则猜测，这个过程称之为盲注。2.盲注的分类：1)基于报错显示的盲注2)基于布尔判断的盲注3)基于时间延迟的盲注盲注常用的SQL函数:1.substr(string,start,length)功能：截取字符串功能返回值：为截取后的字符串参数：string为操作字符串，start为开始位置，length为截取长度。举例1：$.
2021-09-11 17:19:00
584
1
原创 SQL注入之基于参数类型注入
基于联合查询的注入：1.判断注入点及闭合方式1)判断闭合方式闭合方式有很多种，主要有以下几种 无闭合、'、"、')、")、))等情况2)利用and 1=1 --+ 判断结果举例 select * from user where id=1 and 1=1 --+ 结果和不加的一致3)利用and 1=2 --+判断结果举例 select * from user where id=1 and 1=2 --+ 结果和不加的完全相反2.判断查询列数及回显位置order by 数字
2021-09-10 17:52:23
370
3
原创 SQL注入基本原理
SQL注入基础原理：1）SQL注入概念及产生原因：当web应用向后台数据库传递SQL语句进行数据库操作时，如果对用户输入的参数没有经过严格的过滤处理，那么攻击者就可以构造特殊的SQL语句，直接输入数据库引擎执行，获取或修改数据库中的数据。2）SQL注入的本质：把用户输入的数据当作代码来执行，违背了“数据与代码分离”的原则3）SQL注入的两个关键点：1，用户能控制输入的内容； 2，web应用把用户输入的内容带入到数据库执行；SQL注入基础危害：）盗取网站的敏感信息;）绕过网
2021-09-09 23:09:57
3095
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人