post注入

最新推荐文章于 2024-05-21 08:03:35 发布
最新推荐文章于 2024-05-21 08:03:35 发布
阅读量955 收藏 1
点赞数 1
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_25725865/article/details/102372151
版权

先观察网站，发现有一个搜索框，输入1测试，页面并没有变化
在这里插入图片描述
通过查看请求头发现是post请求
在这里插入图片描述
在搜索框中输入1’报错，并返回报错语句
在这里插入图片描述
输入1‘# 页面正常，说明此处存在注入

搜索game、2018等字符发现页面没有变化，搜索到了结果但不显示
搜索其他字符使页面发生变化
）无变化
“无变化
‘报错
在这里插入图片描述

因为页面不会发生变化，通过union 布尔查询没有用，使用延时查询进行注入
搜索’ and sleep(3) #让页面等待3秒，但是结果是秒开？为什么？
搜索’ and sleep(30) # 秒开
搜索’ and sleep(3000) # 秒开
sql语句后面是WHERE content=’’，有可能是没有查到数据的原因
使用or 进行测试
‘or sleep(3)#
页面延时，后面的flag内容按照之前猜测的方法进行

安全我只会360
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【漏洞挖掘】——105、POST注入深入剖析
Fly_鹏程万里
06-21 61
POST是一种数据提交方式，它主要是指数据从客户端提交到服务器端，例如：我们常常使用的用户登录模块、网站的留言板模块等，在这些功能模块中我们提交的数据都是以POST的方式提交的服务器后再由服务器端进行验证，如果以POST提交的参数存在注入点，那么将这种注入称之为"POST"注入。
POST注入
笔墨稠思
11-06 685
靶场地址 POST注入和GET注入几乎没有区别，只是GET注入在url上传参，而POST注入在FORM表单中传递参数。 首先，我们需要判断FORM表单是否存在sql注入： 这是一个登录表单，我采取了通用的登录方式 a’ or 1=1 发现登录成功，说明存在SQL注入 接下来我需要获取当前表的字段数来进行联合查询 用 order by 方法获取了当前表中有3个字段，之后判断回显点 通过联合查询 union select 1,2,3 发现会先点为2，3两字段位置，接下来就可以查询我们想要的内容了 查
POST注入/HEAD注入
cutjgh的博客
05-20 402
POST注入（本质是SQL注入） POST注入就是使用POST进行传参的注入，本质上与GET注入没有任何区别，注入语句在各种框里 在真实站点上，POST注入比GET注入多 POST注入高入点： 登录框 查询框 等各种和数据库有交互的框 表单在有些时候是GET传参 HEAD注入 HEAD注入 抓取的包中User_Agent，Referer，X_FORWARDED_FOR等都可能存在注入 实际上头注入就是将请求头中的数据放入数据库当作命令执行 updatexml() 更新xml文档的函数(当然还有别的报错函数，
Pangolin穿山甲SQL注入工具
12-03
**Pangolin穿山甲SQL注入工具**是一种广泛用于网络安全测试和漏洞评估的专业软件，尤其在网站渗透测试领域中有着重要应用。该工具的主要功能是针对目标系统进行SQL（Structured Query Language）注入攻击，以此来...
sql注入 pikachu post数字型注入
08-12
SQL 注入 Pikachu Post 数字型注入 SQL 注入是一种常见的 Web 应用安全漏洞，攻击者可以通过在输入字段中注入恶意的 SQL 语句来获取或修改敏感数据。在本文中，我们将探讨一种新的 Post 数字型注入方法，即使用 ...
php中$_GET与$_POST过滤sql注入的方法
01-21
本文实例讲述了php中$_GET与$_POST过滤sql注入的方法，分享给大家供大家参考。具体分析如下： 此函数只能过滤一些敏感的sql命令了，像id=1这种大家还是需要自己简单过滤了。 主要实现代码如下： 复制代码 代码如下:...
第十二节 POST update语句注入-01
09-15
"POST update语句注入" 在数据库安全领域中，SQL 注入是一种常见的攻击方式，而在 Web 应用程序中，POST 请求也可能存在 SQL 注入漏洞。今天我们将讨论 POST update 语句注入的相关知识点。 MySQL update 介绍 ...
SQLMAP的注入使用
05-13
该命令用于判断目标网站是否存在POST注入漏洞。 GET注入详解： * python sqlmap.py -u "xxxxxxx.com" --dbs 【获取数据库内所有数据库的名称】 该命令用于获取目标网站的所有数据库的名称。 * python sqlmap.py...
POST、Cookie注入扫描和注入工具
03-11
功能慢全的，注入速度飞快！！！ 应该会对注入者有所帮助
POST注入（一）
qq_45300786的博客
07-04 9051
POST（一） 注入环境：http://inject2.lab.aqlab.cn:81/Pass-05/index.php 攻击流程： 　　　　1；判断是否存在sql注入漏洞。 　　　　2；判断网页存在字段数。 　　　　3；判断回显点。 　　　　4；获取信息。 　　测试开始： 　　　　测试目标获取管理员账号密码 GET/POST 区别： GET传参的数据有限，比较少 POST传参的数据可以比较大 可以达到很多效果 —— 文件上传 GET传参会经过URL编码 POST不会URL编码，比如注释符号：#的UR
post型注入
Alonegrief的博客
12-04 357
使用sqlmap进行post型注入 拿sqli靶场来做例子（第十一关） 打开的时候看到输入账户和密码框，那我们机随便输入，然后利用burpsuite来抓包，对抓到的包复制到txt文件保存，打开sqlmap工具再输入命令的窗口里面输入 Sqlmap.py –r “这里是你保存txt文件的路径（绝对路径）” ，这样子就看到了一些post注入的一些注入类型了 接着跟着之前关卡使用的命令一样： -dbs 爆数据库 -D 指定数据库名 -tables 爆表名 -T 指定数据库列名 -columns 爆字段 -C 指
post注入方法
ljj123_的博客
10-09 1416
get请求方式的sql注入通过sqlmap -u url+参数 完成 而post方式url中不包含参数，故使用如下方法进行 1、使用burpSite拦截post请求 2、将请求发送到repeater中 3、将请求复制到file 4、执行语句 sqlmap -r 上一步骤保存的文件名 备注：get 请求也可以通过post的方式 来操作 ...
SQL注入之post注入
最新发布
banliyaoguai的博客
05-21 911
GET请求的参数是通过URL传输的，而URL的长度往往被浏览器所限制，通常为2048个字符，因此GET请求的参数传输长度是被限制的。GET请求可以被缓存，因为GET请求是幂等的，即多次相同的GET请求对服务器的状态没有影响，可以使用缓存来提高性能。POST请求不是幂等的，多次相同的POST请求会对服务器的状态产生影响，可能会改变服务器的数据。GET请求是幂等的，即多次相同的GET请求对服务器的状态没有影响，不会改变服务器的数据。GET请求通过URL的请求行来提交数据，这些数据在URL中是可见的。
渗透测试基础-POST注入
weixin_45488495的博客
04-08 2121
渗透测试基础-POST注入POST注入是什么POST注入靶场演练漏洞总结 只为对所学知识做一个简单的梳理，如果有表达存在问题的地方，麻烦帮忙指认出来。我们一起为了遇见更好的自己而努力????！ POST注入是什么 post是一种传参方式，大多出现在各种框处，比如登录框，查询框，和各种与数据库有交互的框。 注入攻击是：用户输入的数据当作代码执行，这里有两个关键点 关键点一：用户能够控制输入 关键点二：原本程序要执行的代码，拼接了用户输入的数据 post注入与get注入没有本质的区别，无非就是一个在表单框执
POST 注入
晨辰.的博客
03-20 4017
POST 注入
⑨Mysql POST注入
熊俊坤的博客
11-15 4776
POST方法起初是用来向服务器输入数据的。实际上，通常会用POST方法来支持HTML的表单。表单中填好数据通常会被送到服务器，然后由服务器将其发送到它要去的地方（比如，送到一个服务器网关程序中，然后由这个程序对其进行处理）。如图所示，显示的是一个用POST方法发起HTTP请求——像服务器发送表单数据——的客户端。
sqlmap post注入方法
09-20
在使用post注入方法时，可以通过以下步骤进行操作： 1. 使用`-u`参数指定目标URL，例如：`-u "http://xxx.xxx.com/Login.asp"` 2. 使用`--data`参数指定POST请求的数据，例如：`--data "n=1&p=1"` 3. 输入命令`...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值