1月28,尝试sql injection

这几天可真够无聊的,今天看到一个电影网站,要注册,一试可以注入,,,就打算试试吧,是这种id=1 And select...
这种的,,用 id=1 And (select count(*) from 表名)>0 猜表名,,猜不出来,是Access的数据库,用%5c代替Asp文件前的/来暴库,也暴不出来,,查不出用的什么Asp程序,用的软件AuthentiX来密码保护文件,./的漏洞也被补上了,,扫描了一把也没什么端口开着  自己就这点水平,没辄了,,,
在暴库的时候去了一中的网站,都是静态网页,校长信箱是个Asp论坛,NWBBS 1.0 自己却没在google上找到论坛的程序,,有注入漏洞,Access数据库,暴库出来的是conn.Asp,,不会用,,
And (select count(*) from Admin)>0猜出表名Admin,
And (select count(Admin) from Admin)>0
And (select count(pAssword) from Admin)>0猜出 字段Admin pAssword
都是很好猜的那种
And (select top 1 len(Admin) from Admin)>数字  猜长度
And (select top 1 asc(min(Admin,N,1) from Admin)>数字 挨个猜字符

猜出管理员的用户名密码后,进去管理页面一看，似乎没法往上传东西
再找,找到了IMAil邮件服务器8.2有漏洞,机子上没编译器,拉倒了,,,,自己还没有什么入侵的经历,,还是大哥说的对,,,得学真东西,,看书去 
不过sql injection的漏洞真的多,也很时髦,,其实也是自己必须要会的,,,说实话要想弄的很懂自己的下决心花大时间,,可自己的兴趣不在应用上,而且很多现在弄注入的,也都是通过现象来做事,,
想自己还什么都不会,连个调试都还费劲,自己写不出exploit,,,
不过在自己的学习过程中穿插些这些东西一可以积累,,另外看似浪费时间,实际可以调起学习的兴趣来,,今天不就在电脑前坐了一天嘛,,