假设攻击者可以从服务器响应中推测出一些信息，虽然应用系统没有提供明显的出错信息。但是LDAP过滤器中的代码却生成了有效的响应或错误。攻击者可以利用这一行为向服务器问正确的或错误的问题。这种攻击称之为盲注入攻击。LDAP的盲注入攻击比较慢但容易实施，因为它们基于...
分类：
其他好文 时间：
2015-03-11 12:56:37
阅读次数：
116
1、常用的SQL注入防御的方法一个能连接数据库的应用。
1.对用户端输入的数据进行严格防范；
2.使用PreparedStatement执行Sql语句；
3.不仅仅要在页面层面进行验证，在服务端层面还要同步进行这些验证；2、使用正则表达式屏蔽特殊字符使用SQL注入攻击多在特殊字符上下手脚，如...
分类：
数据库 时间：
2015-03-11 12:55:16
阅读次数：
163
XPath注入和SQL注入，原理上非常相似
但是XPath注入的对象主要是XML，相对来说，危害性更加大...
分类：
其他好文 时间：
2015-03-11 09:22:02
阅读次数：
128
输出指令${}过滤输出输出表达式的计算结果，并进行过滤，比如：过滤变量中的HTML标签。格式：${expression} 示例：${user.name}注：HTTL缺省开启了EscapeXmlFilter，以防止HTML注入攻击，参见：安全示例。如果你需要更强的过滤，请自行实现Filter，并配置到...
分类：
其他好文 时间：
2015-03-09 18:51:51
阅读次数：
373
提交用户名和密码到服务器，以用户为条件查询用户记录，然后判断用户是不是已经注册，若注册就判断密码是否正确，正确则成功登录，在会话中记录用户的相关信息。查询中只以用户名为条件，让数据库从单列索引中快速找出匹配的用户记录，速度远快于同时使用用户名和密码作为条件的查询，而且还巧妙地避开了SQL注入攻击。...
分类：
数据库 时间：
2015-03-07 20:05:11
阅读次数：
197
1、命令注入(Command Injection)2、eval注入(Eval Injection)3、客户端脚本攻击(Script Insertion)4、跨网站脚本攻击(Cross Site Scripting, XSS)5、SQL注入攻击(SQL injection)6、跨网站请求伪造攻击(Cr...
分类：
Web程序 时间：
2015-03-03 11:28:02
阅读次数：
177
今天扫描器误报了这个漏洞，我觉着是误报了。
趁机了解一下， 好像是针对nosql与nodejs的服务端， 我觉着可能是js对于nodejs就是可执行的代码， 也就是任意代码执行， 这么一个攻击。
stackoverflow上有一个http://stackoverflow.com/questions/27879131/server-side-javascript-code-injection-a...
分类：
编程语言 时间：
2015-02-16 01:41:30
阅读次数：
248
在防止被注入攻击时，常会用到两个函数：htmlspecialchars()和addslashes()函数。这两个函数都是对特殊字符进行转义。1）addslashes()作用及使用addslashes()通常用于防止sql注入，它可对通过get，post和cookie传递过来的参数的单引号和双引号已经...
分类：
Web程序 时间：
2015-02-13 21:06:38
阅读次数：
229
谨以此献给黑客x档案的新手们前言：现在的网络，最流行的攻击手段有两种，一种是缓冲区溢出攻击，一种是SQL注入，相对而言，最流行的还是脚本注入，而脚本注入漏洞更是风靡黑客界。不管是老鸟还是新起步的小菜，都会为它那巨大的威力和灵活多变的招式所着迷！正是因为注入攻击的流行，使的市面上的注入工具层出不穷！比...
分类：
Web程序 时间：
2015-02-03 09:18:10
阅读次数：
224
上一篇文章讲了简易版的SqlHelper类的编写,我们在这里就上一篇文章末尾提出的问题写出解决方案. sql语句注入攻击已经是众所周知的了.我们如何在C#中保护自己的数据库不被这样的方式攻击呢? 不用担心,c#中已经提供了很好的解决方案,那就是 SqlParameter类. 如何使用它呢?...
分类：
数据库 时间：
2015-02-02 15:47:28
阅读次数：
173
