網(wǎng)絡(luò)安全第六講數(shù)據(jù)庫安全實例-sql注入(專業(yè)版)
【正文】 注意 :不做特殊說明時所有參數(shù)均為整型參數(shù) ,所有字符均在英文輸入法狀態(tài)下輸入 ,并且站點結(jié)構(gòu)為 IIS+asp 判斷當(dāng)前 url是否為注射點 ? 參數(shù)為字符串型參數(shù)時如何判斷 (YY為字符串型參數(shù)) ? (單引號 ) ； ? and 1=1 ， 而且不 運行結(jié)果相同 ? and 1=2 ； ? 如果以上三步滿足， SQL注入漏洞。亍是就有好事者進入，主人的隱私被刺探，生活被打擾，甚至屋里的東西也被搞得一片狼跡。簡單的說來， webshell就是一個 asp戒 php木馬后門，黑客在入侵了一個網(wǎng)站后，常常在將這些 asp戒 php木馬后門文件放置在網(wǎng)站服務(wù)器的 web目錄中，不正常的網(wǎng)頁文件混在一起。 ? 在 Inter上，“特洛伊木馬”指一些程序設(shè)計人員在其可從網(wǎng)絡(luò)上下載 (Download)的應(yīng)用程序戒游戲中，包含了可以控制用戶的計算機系統(tǒng)的程序，可能造成用戶的系統(tǒng)被破壞甚至癱瘓。 Web攻擊思路 1. 踩點 (盡可能分析一切信息 ) 2. 找上傳漏洞 (有 ,上傳木馬 ) 3. 暴庫 (下載成功 6) 4. SQL注射 (先工具后手工 ) 5. 獲取 Web管理員密碼 (否 另尋他法 ) 6. 登陸后臺 (否 萬能密碼 。xp_cmdshell39。 注：有時一個動態(tài)網(wǎng)頁中可能只有一個參數(shù)，有時可能有 N個參數(shù)，有時是整型參數(shù)，有時是字符串型參數(shù)，不能一概而論。后世稱這叧大木馬為“特洛伊木馬”。數(shù)據(jù)庫安全實例： SQL注射 本講目標 ? 了解網(wǎng)站的組成結(jié)構(gòu) ? 理解 SQL注射的基本原理 ? 掌握工具及手工注射的方法 ? 如何防范 SQL注射攻擊 一 網(wǎng)站是如何構(gòu)成的 ? 一般說來 ,網(wǎng)站基本構(gòu)成方式為以下三部分 : 前臺頁面 (供用戶瀏覽 ) 后臺管理控制臺 (供管理員管理此站點 ) 后臺數(shù)據(jù)庫 (記錄用戶密碼及其他數(shù)據(jù) ) ? 網(wǎng)站結(jié)構(gòu)隨頁面類型和數(shù)據(jù)庫類型丌同而呈現(xiàn)多種組合 . 了
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1