如果有输入肯定是线经过攻击扫描的我之前网站就碰到过SQL注入的时间还好被查出来了一般来说有注入的扫描肯定会带有一下关键字比如什么hexselectconcatfrominformation_schemaunion等等这些关键下面我贴一段日志shop/product/129.html?cid=324+and%28select+1+from%28select+cou..
分类：
数据库 时间：
2014-07-26 03:10:17
阅读次数：
279
说明：Nikto2 是一款使用perl 语言写的多平台扫描软件，是一款 命令行模式的工具，它可以扫描指定主机的web类型、主机名、特定目录、cookie、特定cgi 漏洞、xss漏洞、sql注入漏洞、返回主机允许的http 方法等安全问题。Nikto 是一款非常著名的web评估工具，几乎到了无人不知...
分类：
其他好文 时间：
2014-07-23 16:20:31
阅读次数：
364
1. 识别脆弱点 http://www.site.com.tr/uyg.asp?id=123'+union+selec+1,2,3-- http://www.site.com.tr/uyg.asp?id=123' http://www.site.com.tr/uyg.asp?id=1232. HTT...
分类：
数据库 时间：
2014-07-22 22:41:54
阅读次数：
485
之前一搞渗透的同事问我，sqlmapapi.py是干啥的，我猜很多人都玩过sqlmap，但玩过sqlmapapi的应该比较少，今天就和大家一起看看如何使用以及一些美的地方。说白了，sqlmapapi.py就是提供了一个检查sql注入的接口，我们可以直接通过发送http请求扫描sql注入，获取扫描结果等一系列操作。 下面通过实例演示如何使用：一.启动服务器端服务器后端使用的是bottle，一个...
分类：
数据库 时间：
2014-07-22 14:47:14
阅读次数：
448
sql替换法：declare @myStr nvarchar(500);set @myStr='oa_20121026new.bak<';select replace(@myStr,substring(@myStr,charindex('<',@myStr),len(@myStr)),'');
分类：
数据库 时间：
2014-07-22 00:32:35
阅读次数：
221
使用dvwa测试，安装了httpd MySQL php 发现 phpinfo 可以解析，但是dvwa的大部分php页显示不了，调试发现时数据库出错，所以显示不了，@错误抑制：不显示错误信息， 所以不会打印出错信息最后将php-mysql库安装好了 就行注意要配置php.ini文件，重启http服务。
分类：
Web程序 时间：
2014-07-19 21:01:14
阅读次数：
320
前言：相比基于查询的SQL注入，使用insert、update和delete进行SQL注入显得略显另类 参考自：http://www.exploit-db.com/wp-content/themes/exploit/docs/33253.pdf0x1 准备条件 a. mysql数据库 b....
分类：
数据库 时间：
2014-07-19 14:18:29
阅读次数：
333
Discuz!7.2faq.php文件SQL注入漏洞分析及利用实战[antian365.com]simeon最近网上公开了Discuz!7.2版本faq.php文件SQL注入0day，通过对文件漏洞分析以及实战测试，效果不错，公开利用exp的利用需要对SQL语句以及数据库等相当了解，在某些情况下需要多种技术配合才能最终攻克目标..
分类：
数据库 时间：
2014-07-19 02:14:15
阅读次数：
402
关于Sql注入的基本概念，相信不需要多说，大家都清楚，经典的注入语句是' or 1=1--单引号而截断字符串，“or 1=1”的永真式的出现使得表的一些信息被暴露出来，如果sql语句是select * from 的话，可能你整个表的信息都会被读取到，更严重的是，如果恶意使用都使用drop命令，那么可...
分类：
数据库 时间：
2014-07-18 17:30:53
阅读次数：
417
