DVWA(LOW)学习心得【持续更新】

本文记录了作者在DVWA平台学习SQL注入(LOW级别)的过程。通过分析代码,发现输入参数id直接参与数据库查询,从而可以构造SQL语句进行注入。作者分享了构造万能密码的方法,并提供了一个SQL语法学习资源。
摘要由CSDN通过智能技术生成

应学长要求,开始学习DVWA的有关知识。虽然临近期末,但是感觉拿来在休闲时间玩玩还是挺好的。如果写得有什么问题,希望各位师傅能予以指正。

第一部分:SQL注入

登上平台之后打开如下页面:
在这里插入图片描述
就一个输入框真的看不出什么,看看代码吧…
先贴代码

<?php

if( isset( $_REQUEST[ 'Submit' ] ) ) {
   
    // Get input
    $id = $_REQUEST[ 'id' ];

    // Check database
    $query  = "SELECT first_name, last_name FROM users WHERE user_id = '$id';"<
DVWA(Damn Vulnerable Web Application)是一个用于演示Web应用程序漏洞的开源漏洞评估工具。它是一个PHP/MySQL应用程序,可在各种安全测试环境中使用。 DVWA有三个安全级别:低(low)、中等(medium)和高(high)。在低安全级别下,DVWA中存在以下漏洞: 1. Brute Force:通过弱密码猜测攻击登录系统。 2. Command Execution:通过输入特殊命令攻击服务器。 3. SQL Injection:通过输入特殊SQL语句攻击数据库。 4. XSS(Cross-Site Scripting):通过输入特殊脚本攻击用户浏览器。 5. File Inclusion:通过输入特殊文件路径攻击系统文件。 下面是DVWA低安全级别的详细漏洞原理教学: 1. Brute Force Brute Force攻击是一种暴力破解密码的攻击方法。攻击者使用自动化工具或脚本尝试不同的用户名和密码组合,直到找到正确的组合为止。 在DVWA中,Brute Force漏洞通过使用弱密码来攻击登录系统。在低安全级别下,DVWA使用默认用户名和密码admin/password。攻击者可以使用Burp Suite等工具进行Brute Force攻击并尝试不同的用户名和密码组合,直到找到正确的组合为止。 2. Command Execution Command Execution漏洞是一种攻击者可以通过输入特殊命令来执行远程系统命令的漏洞。在DVWA中,Command Execution漏洞通过使用特殊字符来攻击服务器。 在低安全级别下,DVWA中存在一个命令执行漏洞,攻击者可以在输入框中输入特殊字符(如;、&、|等),并通过执行系统命令来攻击服务器。 3. SQL Injection SQL Injection漏洞是一种攻击者可以通过输入特殊SQL语句来执行远程数据库操作的漏洞。在DVWA中,SQL Injection漏洞通过使用错误的输入验证来攻击数据库。 在低安全级别下,DVWA中存在一个SQL Injection漏洞,攻击者可以在输入框中输入特殊SQL语句,并通过执行SQL语句来攻击数据库。 4. XSS(Cross-Site Scripting) XSS漏洞是一种攻击者可以通过输入特殊脚本来攻击用户浏览器的漏洞。在DVWA中,XSS漏洞通过使用未经过滤的用户输入来攻击用户浏览器。 在低安全级别下,DVWA中存在一个XSS漏洞,攻击者可以在输入框中输入特殊脚本,并通过执行脚本来攻击用户浏览器。 5. File Inclusion File Inclusion漏洞是一种攻击者可以通过输入特殊文件路径来攻击系统文件的漏洞。在DVWA中,File Inclusion漏洞通过使用未经过滤的用户输入来攻击系统文件。 在低安全级别下,DVWA中存在一个File Inclusion漏洞,攻击者可以在输入框中输入特殊文件路径,并通过执行文件来攻击系统文件。 总之,DVWA是一个非常实用的漏洞评估工具,可以帮助安全人员了解各种Web应用程序漏洞的原理和防御方法。在使用DVWA进行漏洞测试时,一定要注意安全,并且不要在生产环境中使用。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值