基础函数过滤不全导致注射。ajax/coupon.phpexp：1ajax/coupon.php?action=consume&secret=8&id=2%27)/**/and/**/1=2/**/union/**/select/**/1,2,0,4,5,6,concat(0x31,0x3a,use...
分类：
数据库 时间：
2014-12-19 01:52:29
阅读次数：
942
原理，过滤所有请求中含有非法的字符，例如：, & invalidsql = new ArrayList(); private static String error = "/error.jsp"; private static boolean debug = false; ...
分类：
数据库 时间：
2014-12-18 16:44:52
阅读次数：
242
Hibernate中对动态查询参数绑定提供了丰富的支持，那么什么是查询参数动态绑定呢？其实如果我们熟悉传统JDBC编程的话，我们就不难理解查询参数动态绑定，如下代码传统JDBC的参数绑定：PrepareStatement pre=connection.prepare(“select * from U...
分类：
数据库 时间：
2014-12-15 15:19:50
阅读次数：
231
我们都知道，只要合理正确使用PDO,可以基本上防止SQL注入的产生，本文主要回答以下两个问题：为什么要使用PDO而不是mysql_connect？为何PDO能防注入？使用PDO防注入的时候应该特别注意什么?一、为何要优先使用PDO?PHP手册上说得很清楚：Prepared statements an...
分类：
其他好文 时间：
2014-12-14 18:31:36
阅读次数：
194
Sql注入"select * from T_User where UserName='" + txtUserName.Text+"'"注入：select * from T_User where UserName=''or 1=1 --' and Password='1'后面的被注释了更改：selec...
分类：
数据库 时间：
2014-12-13 13:21:49
阅读次数：
169
1、登录时SELECT*fromadminwhereusername=‘xioahan‘or1=1#‘andMD5(password)=‘d41d8cd98f00b204e9800998ecf8427e‘;只要在用户名输入框输入xiaohan‘or1=1#‘就能注释密码的认证
分类：
数据库 时间：
2014-12-11 16:06:35
阅读次数：
184
说到网站安全就不得不提到SQL注入（SQL Injection），如果你用过ASP，对SQL注入一定有比较深的理解，PHP的安全性相对较高，这是因为MYSQL4以下的版本不支持子语句，而且当php.ini里的 magic_quotes_gpc 为On 时。提交的变量中所有的 ' (单引号), ".....
分类：
数据库 时间：
2014-12-11 15:44:09
阅读次数：
206
原文 http://www.cnblogs.com/r00tgrok/articles/3860093.html1. 识别脆弱点 http://www.site.com.tr/uyg.asp?id=123'+union+selec+1,2,3-- http://www.site.com.tr/uyg...
分类：
数据库 时间：
2014-12-10 01:44:59
阅读次数：
443
原文 http://www.cnblogs.com/r00tgrok/p/SQL_Injection_Bypassing_WAF_And_Evasion_Of_Filter.html[目录]0x0 前言0x1 WAF的常见特征0x2 绕过WAF的方法0x3 SQLi Filter的实现及Evasio...
分类：
数据库 时间：
2014-12-10 01:42:27
阅读次数：
262
防止SQL注入，将特殊符号转换为其他字符 Function htmlspecialchars(str) ?? ?str = replace(str, ">", ">") ?? ?str = replace(str, "<", "<") ?? ?str = Replace(str, CHR(32), " ") ?? ...
分类：
其他好文 时间：
2014-12-08 14:05:36
阅读次数：
144
