在掌握了MySQL的基本操作之后，在本篇博文中将介绍如何进行手工PHP注入。目标网站仍然采用NPMserv搭建，软件下载地址：http://down.51cto.com/data/1886128。首先随便打开一个页面，利用and1=1和and1=2判断是否存在注入点。然后利用orderby推断字段数量，这里推断出有5个字段。..
分类：
数据库 时间：
2014-11-02 09:34:32
阅读次数：
227
系统命令注入攻击也是一种古老的攻击手段，是指黑客可以在有漏洞的页面地址栏中直接执行操作系统命令。下面将来演示这种攻击的实现方式，以及如何配置WAF进行拦截，实验环境仍然使用NPMserv搭建。打开网站，在地址栏中的网址后面输入“?cmd=所要执行的命令”，如下图所示的http..
分类：
其他好文 时间：
2014-10-23 12:53:40
阅读次数：
279
PHPTaint-检测xss/sqli/shell注入的php扩展模块web渗透者习惯采用黑盒或灰盒的方面来检测一款web应用是否存在漏洞，这种检测方法可以屏蔽不少漏洞，特别是程序逻辑中的漏洞。但如果能配合白盒的源码审计（也可以叫漏洞挖掘），效果将会更好，当然人力成本也会增加，其中，对于源码审计工作...
分类：
数据库 时间：
2014-06-11 08:46:40
阅读次数：
378
