今早有国外安全研究人员在Twitter上曝出了Drupal 7.31版本的最新SQL注入漏洞，并给出了利用测试的EXP代码。在本地搭建Drupal7.31的环境，经过测试，发现该利用代码可成功执行并在数据库中增加一个攻击者自定义的用户。测试代码：（请勿用于非法用途）POST/drupal-7.31/...
分类：
数据库 时间：
2014-10-16 15:32:22
阅读次数：
260
对web安全方面的知识非常薄弱，这篇文章把Xss跨站攻击和sql注入的相关知识整理了下，希望大家多多提意见。对于防止sql注入发生，我只用过简单拼接字符串的注入及参数化查询，可以说没什么好经验，为避免后知后觉的犯下大错，专门参考大量前辈们的心得，小小的总结一下，欢迎大家拍砖啊一、跨站脚本攻击(XSS...
分类：
数据库 时间：
2014-09-19 22:28:36
阅读次数：
379
“织梦”CMS注入高危漏洞情况
作者: 时间：2014-04-17
“织梦”CMS是由上海卓卓网络科技有限公司研发的一款网站建站系统软件，又称“DEDE内容管理系统”，在国内应用较为广泛。2014年2月25日，该软件被披露存在一个高危漏洞，由于页面参数未进行严格过滤，存在SQL注入漏洞。受漏洞...
分类：
其他好文 时间：
2014-09-15 21:22:08
阅读次数：
308
或许大家经常看一些高手测试XSS漏洞都是alert一个窗口来。便以为XSS即是如此，当自己alert出窗口来，便说自己发现了漏洞。其实远没这么简单。你发现的只是程序员的一个小bug而已，远谈不上XSS。它们的关系如同系统漏洞与漏洞利用的关系，不可同日而语。你的系统是否出现过“****内存不能为rea...
分类：
Web程序 时间：
2014-09-07 18:27:45
阅读次数：
203
使用系统命令是一项危险的操作，尤其在你试图使用远程数据来构造要执行的命令时更是如此。如果使用了被污染数据，命令注入漏洞就产生了。exec()是用于执行shell命令的函数。它返回执行并返回命令输出的PowerBet最后一行，但你可以指定一个数组作为第二个参数，这样输出的每一行都会作为一个元素存入数组...
分类：
Web程序 时间：
2014-09-03 09:29:46
阅读次数：
279
最近在做一个项目过程中，发现了一个很严重的安全漏洞，这个漏洞是乌云平台（http://www.wooyun.org）报告出来的。 1，使用场景 我们很多时候要使用WebView来展示一个网页，现在很多应用为了做到服务端可控，很多...
分类：
移动开发 时间：
2014-08-25 17:23:34
阅读次数：
365
之后得到如下table：我们选择user继续脱库：得到：发现username和password都有了^ ^，不要犹豫，继续爆内容。就贴个password的吧~出来了：那么就到这里吧~
分类：
数据库 时间：
2014-08-23 20:18:11
阅读次数：
318
程序名称：随缘网络php企业网站管理系统2.0免费版以下为系统的功能简介：1、采用div+css布局经测试兼容IE及firefox主流浏览器，其他浏览器暂未测试。2、产品新闻三级无限分类。3、后台可设置诸如管理员帐号密码，网站标题，网站底部版权等信息。4、后台采用最新版xhEditor编辑器，xhE...
分类：
Web程序 时间：
2014-08-22 00:07:55
阅读次数：
245
以前学习渗透时，虽然也玩过万能密码SQL注入漏洞登陆网站后台，但仅仅会用，并不理解其原理。今天学习c#数据库这一块，正好学到了这方面的知识，才明白原来是怎么回事。众所周知的万能密码SQL注入漏洞，大家相信很熟悉了。不懂得简单了解下，懂的大牛直接飘过即可。**********************....
分类：
数据库 时间：
2014-08-21 18:42:24
阅读次数：
285
本文操作方法十分简单，按照操作提示一步步来就可以完成了。不少网站在后台登陆框输入‘or’'='代码就可以直接登陆网站后台，这种方式曾经是最流行入侵方式，而今天卢松松讲的是如何利用login后台登陆文件漏洞注入代码。login.php（.asp/.aspx）文件一般都是作为CMS系统的管理员后台登陆文...
分类：
Web程序 时间：
2014-08-08 12:08:35
阅读次数：
276
