在正式发布的2017 OWAST Top10榜单中，出现了三种新威胁： A4：XML外部实体注入漏洞(XXE) A8：不安全的反序列化漏洞 A10：不足的记录和监控漏洞 验证XXE： 构造请求 <?xml version="1.0" encoding="ytf-8"?> <!DOCTYPE Anyt ...
分类：
其他好文 时间：
2017-12-02 11:17:24
阅读次数：
129
一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。 在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被 窃 ...
分类：
其他好文 时间：
2017-11-28 19:46:52
阅读次数：
148
在这篇文中，我们将共同分析一下Oracle数据库的XXE注入漏洞(CVE-2014-6577)，Oracle公司1月20日发布了针对该漏洞的相关补丁。 有关XXE的相关知识，可以查看安全脉搏站内的另一篇文章《未知攻焉知防——XXE漏洞攻防》。 漏洞描述 Oracle数据库的XML解析器模块容易受到X ...
分类：
数据库 时间：
2017-11-23 08:35:57
阅读次数：
325
什么是 SQL 注入速查表？ SQL注入速查表是可以为你提供关于不同种类 SQL注入漏洞 的详细信息的一个资源。这份速查表对于经验丰富的渗透测试人员，或者刚开始接触 Web应用安全 的初学者，都是一份很好的参考资料。 关于这份 SQL 注入速查表 这份 SQL 速查表最初是 2007 年时 Ferr ...
分类：
数据库 时间：
2017-11-20 13:17:48
阅读次数：
170
题目要求 题目源于一个比赛，要求找出数据库中的flag字段的值。给的题目环境是一个新闻搜索引擎。 界面 界面 开始渗透 哈集美马修~ 1.sql注入检测，试探该网站有没有sql注入漏洞。 首先猜测sql执行语句为：select [字段1,字段2...字段n] from [表名] where [内容字 ...
分类：
其他好文 时间：
2017-10-27 01:52:54
阅读次数：
352
CRLF是“回车+换行”（\r\n）的简称。在HTTP协议中，HTTPHeader与HTTPBody是用两个CRLF分隔的，浏览器就是根据这两个CRLF（使用payload%0a%0d%0a%0d进行测试）来取出HTTP内容并显示出来。所以，一旦我们能够控制HTTP消息头中的字符，注入一些恶意的换行，这样我们就能注入一些..
分类：
其他好文 时间：
2017-10-21 19:20:36
阅读次数：
284
实验地址：http://www.shiyanbar.com/ctf/62 右键查看源码： 进入后看到代码： 根据源码可以看到两处特别需要重视的地方。 很明显1处sql语句存在注入漏洞，但是密码栏不能通过一般的注入来绕过，但是可以发现，只要满足了（$row[pw]) && (!strcasecmp($ ...
分类：
其他好文 时间：
2017-10-19 17:36:53
阅读次数：
198
最近在看java安全编码方面的书籍，在看到SQL注入漏洞的问题时，引发了我对Statement和PreparedStatement深入总结的欲望，废话少说，下面咱们就正式开始。 当初始的SQL查询被修改成另一个完全不同形式的查询的时候，就会出现SQL注入漏洞。执行这一被修改过的查询就可能会导致信息泄 ...
分类：
其他好文 时间：
2017-10-18 23:17:23
阅读次数：
267
原文地址：http://blog.csdn.net/u013777676/article/details/52124298 一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽 ...
分类：
Web程序 时间：
2017-10-16 13:37:12
阅读次数：
165
攻击者利用该漏洞可能导致 1.网页被篡改 2.数据被篡改 3. 核心数据被窃取 4. 数据库所在服务器被攻击变成傀儡主机 解决方法： 1. 过滤用户输入的内容，检查用户输入的内容中是否有非法内容。如，|（竖线符号）、 & （& 符号）、;（分号）、$（美元符号）、%（百分比符号）、@（at 符号）、 ...
分类：
数据库 时间：
2017-09-29 01:45:52
阅读次数：
343
