今天，一基友问我一个问题说：为什么SQL注入要加单引号，这个当时我一时也回答不上，怪就怪自己理论太菜，不过回去仔细思考了一下，觉得这个问题也是蛮简单的。首先大家应该明白的一点就是SQL注入的目的：加单引号是为了让后台SQL语句执行的时候报错，这样，我们就可以初步判断单引号被放在SQL语句中执行了，只...
分类：
数据库 时间：
2015-04-05 18:42:48
阅读次数：
247
ModSecurity是一个入侵探测与阻止的引擎，它主要是用于Web应用程序所以也可以叫做Web应用程序防火墙.它可以作为Apache Web服务器的一个模块或单独的应用程序来运行。ModSecurity的目的是为增强Web应用程序的安全性和保护Web应用程序避免遭受来自已知与未知的攻击。本文主要介...
分类：
数据库 时间：
2015-04-05 15:49:38
阅读次数：
266
本文来自：caodonglin一、SQL参数化为什么能防注入？因为执行计划被重用了，所以可以防SQL注入。下面有两段SQL 正常SQL：1selectCOUNT(1)fromCruiseSysUserwhereCSUPwd='aa'andCSUUserName='bb' 被注入后的SQL：1sele...
分类：
数据库 时间：
2015-04-03 19:17:40
阅读次数：
270
环境：dvwa1.7数据库：mysql前置知识：sql语句(Clickme)在进行sql注入前，我们先熟悉熟悉select语句。一、打开我们的sql终端二、进入之后可以看到有mysql>我们输入sql语句，即可返回我们想要的结果，注意分号哟！我们使用的dvwa，在我们前几章设置的时候，会在数据库中生成..
分类：
Web程序 时间：
2015-04-01 20:21:16
阅读次数：
328
0x00
在CI框架中，获取get和post参数是使用了$this->input类中的get和post方法。
其中，如果get和post方法的第二个参数为true，则对输入的参数进行XSS过滤，注意只是XSS过滤，并不会对SQL注入进行有效的防范。
例子：
Controller中，定义一个shit方法，获取get数据：
指定了第二个参数为true：
（1）XSS测试...
分类：
数据库 时间：
2015-04-01 00:28:13
阅读次数：
410
14年11月笔者在百度xteam博客中看到其公开了此前报告给Google的CVE-2014-8507漏洞细节——系统代码在处理经由短信承载的WAP推送内容时产生的经典SQL注入漏洞，影响Android 5.0以下的系统。于是对这个漏洞产生了兴趣，想深入分析看看该漏洞的危害，以及是否能够通过一条短信来...
分类：
移动开发 时间：
2015-03-30 16:18:09
阅读次数：
231
分类学习有利于条理化知识，大致的SQL注入分为三种：1.BealeanBase2.TimeBase3.ErrorBase1.从最简单的说起，基于布尔类型是最常见的SQL注入方式select username, password from tb_admin where username= User a...
分类：
数据库 时间：
2015-03-28 20:12:00
阅读次数：
214
在《【JavaScript】某些字符不转义可以导致网页崩溃与涉及转义字符的显示方法》（点击打开链接）提及到一种表单之前，必须把表单的输入框的内容转义的方法，但是，其实这种字符串的转义更加应该放在后台中进行。这样同时能够有效地防止sql注入的问题。
所谓的sql注入是什么呢？比如，你做了一个登录功能什么的。你必须把根据用户输入的用户名，查询存放在数据库的密码的，然后与密码比对是不是？
selec...
分类：
数据库 时间：
2015-03-28 11:39:30
阅读次数：
298
一、前言 安全狗是一款大家熟悉的服务器安全加固产品，据称已经拥有50W的用户量。最近经过一些研究，发现安全狗的一些防护功能，例如SQL注入、文件上传、防webshell等都可以被绕过，下面为大家一一介绍。二、测试环境 本次测试环境为中文版Win2003 SP2+PHP 5.3.28+Mysql .....
分类：
其他好文 时间：
2015-03-21 19:51:18
阅读次数：
150
相关知识：在ADO.NET访问SQL Server时，鼓励使用存储过程取代常规的SQL语句。存储过程有下列优点：存储过程中的SQL语句将会经过预先的解析和编译，然后存放在数据库服务器上行。调用的时候不必在此解析语法和编译，因此效率比采用常规SQL语句高带参数的存储过程在一定程度上可以降低SQL注入攻...
分类：
Web程序 时间：
2015-03-21 06:17:05
阅读次数：
169
