sqlmap注入时：1、判断可注入的参数2、判断可以用那种SQL注入技术来注入3、识别出哪种数据库4、根据用户选择，读取哪些数据sqlmap支持五种不同的注入模式：1、基于布尔的盲注，即可以根据返回页面判断条件真假的注入2、基于时间的盲注，即不能根据页面返回内容判断任何信息，用条件语句查看时间延迟语...
分类：
数据库 时间：
2015-06-16 16:35:20
阅读次数：
169
1.PDO预处理是首选。 你可以把他看成是要运行的sql的已经编译过的模板，它可以用变量参数进行定制 它有两个显著优点： 1.1：查询仅需解析一次，但可以用相同或者不同参数执行多次。换句话说如果要以不同的参数执行同样的语句执行多次，利用PDO可以大大降低应用程序的速度。 1.2：提供...
分类：
数据库 时间：
2015-06-16 10:52:47
阅读次数：
118
"" ThenIf Instr(LCase(Request(Fy_Cs(Fy_x))),"'")0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"select")0 or Instr(LCase(Request(Fy_Cs(Fy_x))),"update")0 or I...
分类：
数据库 时间：
2015-06-15 16:13:34
阅读次数：
172
方法1: Replace过滤字符解决方法:查找login.asp下的案例：http://www.wooyun.org/bugs/wooyun-2010-024354
分类：
数据库 时间：
2015-06-15 15:51:40
阅读次数：
155
SQL注入攻击的根源是因为SQL规范的漏洞，但是，因为规范的长期存在以及使用，几乎已经不太可能去修改规范了，只能够从开发者本身去避免攻击，虽然SQL注入之前很严重，但现在相对控制的很好，这里仅仅作为一种学习的内容。
测试过程如下：
1：搭建PHP，mysql开发环境，可以详见我的另一篇博客自定义开发PHP环境
2：添加数据库，表，以及表内容。3：分别测试
万能密码，万能用户名...
分类：
数据库 时间：
2015-06-13 21:42:38
阅读次数：
207
关于SQL注入，师父给验收项目的时候就提过。但一直也没深入去想是怎么回事~~在学ASP.NET，做新闻发布系统的时候，又遇到了，这次不能放过了~~
定义
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过...
分类：
数据库 时间：
2015-06-13 17:17:35
阅读次数：
215
1.首先将magic_quotes_gpc设置为On，display_errors设置为Off.2.项目正式上线后，调用 mysql_query 等 mysql 函数时，前面应该加上 @，即 @mysql_query(...) ，这样 mysql 错误不会被输出。同理以免让攻击者分析出有用的信息。3...
分类：
数据库 时间：
2015-06-13 16:53:02
阅读次数：
179
前言很多人都使用sqlmap来进行SQL注入测试，但是很多人只是简简单单的current-user，current-db，-D，-T，--dump这样子来做，其实sqlmap还有很多很强大的功能，这里简单的总结下。POST注入有两种方法来进行post注入，一种是使用--data参数，将post的ke...
分类：
数据库 时间：
2015-06-13 14:12:09
阅读次数：
138
什么叫SQL注入？许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，（一般是在浏览器地址栏进行,通过正常的www端口访问）根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。SQL注入的思路...
分类：
数据库 时间：
2015-06-12 18:58:10
阅读次数：
196
大家好，我是乄Godepilepsy扣扣：929777981,今天给大家带来PHP+MYSQL手工盲注教程，虽然注入并不是神马新技术了，但是还是有很多盆友不会，很多盆友都是借助sqlmap，如果有墙，你们的sqlmap还能行嘛？好了废话不多说，新手教程，大鸟跳过！PS：这篇文章写的很烂噢，大家将就看?.
分类：
数据库 时间：
2015-06-12 15:23:32
阅读次数：
267
