1.大小写绕过这个大家都很熟悉，对于一些太垃圾的WAF效果显著，比如拦截了union，那就使用UnionUnIoN等等绕过。2.简单编码绕过比如WAF检测关键字，那么我们让他检测不到就可以了。比如检测union，那么我们就用%55也就是U的16进制编码来代替U，union写成%55nION，结合大小写也可..
分类：
数据库 时间：
2015-05-08 00:18:59
阅读次数：
173
在实际开发中，我们不会直接使用拼写SQL语句的方法进行数据库操作，而是使用参数化的方法进行数据库操作，这样做的好处很多，不仅提高了程序的健壮性，同时也避免的SQL注入的问题。在这里，笔者为初学者提供一个SQLHelper模板，希望对新手有所启发。public static class SqlHelp...
分类：
数据库 时间：
2015-05-07 23:25:24
阅读次数：
170
参数绑定（预编译语句）虽然数据库自带的过滤是个不错的实现，但是我们还是处在“用户输入被当成 SQL语句的一部分 ”这么个圈子里，其实要跳出这个圈子还有一个实现，就是参数绑定。基本上所有的主流数据库都提供这种接口。这种方法提前预编译了SQL语句的逻辑，然后对 参数预留了位置（就是“ ?1 ?2” 这种...
分类：
数据库 时间：
2015-05-07 00:50:10
阅读次数：
148
5.限制输入长度 如果在Web页面上使用文本框收集用户输入的数据,使用文本框的MaxLength属性来限制用户输入过长的字符也是一个很好的方法,因为用户的输入不够长,也就减少了贴入大量脚本的可能性。程序员可以针对需要收集的数据类型作出一个相应的限制策略。6.URL重写技术我们利用URL重写技术过滤....
分类：
数据库 时间：
2015-05-07 00:47:53
阅读次数：
177
邮给我一个密码我们意识到虽然不能添加一条新的记录在members表中，但我们可以通过修改一个存在的记录, 这也获得了我们的证明是可行的。从先前的步骤中，我们知道bob@example.com在系统中有一个帐号，我们使用SQL注入更新了他的数据库记录为我们的邮件地址：SELECTemail,passw...
分类：
数据库 时间：
2015-05-07 00:36:46
阅读次数：
187
详解强大的SQL注入工具——SQLMAP 1. 前言Windows下的注入工具好的又贵，免费的啊D、明小子等又不好用，我们根本没必要花时间去找什么破解的havij、pangolin什么的，特别是破解的工具很可能被绑了木马。其实Linux下的注入工具也是非常强大的，不过分的说，可以完全取代Window...
分类：
数据库 时间：
2015-05-05 14:13:50
阅读次数：
244
3月女人节，电商行业自己创办的节日，着实让爱购物的女人们疯狂了一把。默默躲在屏幕背后的黑手，此时也正值忙碌时期。事后，笔者有幸被邀请参与A公司黑客入侵电商ERP系统安全事件的评估分析。黑客采取的手段和事后的原因追查分析，隐去客户信息，分享给大家，警示防范。事件起..
分类：
数据库 时间：
2015-05-05 12:48:03
阅读次数：
1056
public final static String filterSQLInjection(String s) { ??? if (s == null || "".equals(s)) { ??????? return ""; ??? } ??? try { ??????? s = s.trim().replaceAll("</?[s,S][c,...
分类：
数据库 时间：
2015-05-04 18:26:03
阅读次数：
151
菜鸟今天刚刚学习PHP和SQL方面的内容，感觉坑比较深，做一下简单的记录，欢迎批评交流。主要有两种思路一种是过滤，一种是使用占位符，据说第二种可以根本解决SQL注入，本人涉猎不深，还有待研究。下面是过滤思路的示例代码，需要注意以下几点：1.判断数据类型加引号，防止被识别为数字。2.使用stripsl...
分类：
数据库 时间：
2015-04-30 16:03:47
阅读次数：
168
对于ExtJs表单中的多行文本框，本身就自带一个没有格式的textareafield。
如果要呈现一个带格式的文本编辑器给用户，ExtJs本身就自带一个htmlEditor。
一、基本目标
比如下图的带编辑器的文本框。
这个组件具有加粗、斜体、下划线，增加减少字号，颜色等功能，而且自动会对文本自动编码，无需担心跨站攻击，只要在后台防范好SQL注入就可以了。
如下图，即使在...
分类：
Web程序 时间：
2015-04-30 09:05:59
阅读次数：
438
