首页 爱情文章 亲情文章 友情文章 生活随笔 校园文章 经典文章 人生哲理 励志文章 搞笑文章 心情日记
  • 爱情文章
  • 亲情文章
  • 友情文章
  • 生活随笔
  • 校园文章
  • 经典文章
  • 人生哲理
  • 励志文章
  • 搞笑文章
  • 心情日记
  • 英语文章
  • 范文大全
  • 作文大全
  • 新闻阅读
    •
    当前位置: 山茶花美文网 > 生活随笔 > 正文

    搜索型注入 ASPX搜索型注入

    时间：2020-02-17来源：山茶花美文网 本文已影响 人 山茶花美文网手机站

    樱木花盗's BLOG

    今天看到有个关于搜索型注入的文章，用到的是一种新技术，探测的是三星：http://notebook.samsung.com.cn/index.aspx

    注入方式是：

    一般网站的搜索都是部分匹配的

    有漏洞的url是http://notebook.samsung.com.cn/news/news.aspx& ... t&ST=title&SC=

    构造注入语句 三星%’and 1=1 and ’%’=’

    三星%’and 1=2 and ’%’=’

    大家看到了吧 两个返回页面是不一样的 说明有注入的漏洞 特征字 写 笔记本 就是三星%’and 1=1 and ’%’=’ 返回时有的

    我们知道一般搜索代码是这么写的：

    Select * from 表名 where 字段 like ’%关键字%’

    这样就造成了对关键字前后的所有匹配(%是用来全部匹配的)

    这里如果关键字没有过滤的话，就可以这样来构造：

    关键字=’ and [查询条件] and ‘%’=’

    这样查询就变成

    select * from 表名 where 字段 like ’%’ and 1=1 and ’%’=’%’

    这样就很好的构成了一个sql注入点，当然用手工也可以，用nbsi也可以~~

    注入是不分家的，没必要什么型什么型的！~

    如果不信，大家请看下面的《sql注入天书》的原话

    第一节、ＳＱＬ注入的一般步骤

    首先，判断环境，寻找注入点，判断数据库类型，这在入门篇已经讲过了。

    其次，根据注入参数类型，在脑海中重构SQL语句的原貌，按参数类型主要分为下面三种：

    (A) ID=49 这类注入的参数是数字型，SQL语句原貌大致如下：

    Select * from 表名 where 字段=49

    注入的参数为ID=49 And [查询条件]，即是生成语句：

    Select * from 表名 where 字段=49 And [查询条件]

    (B) Class=连续剧 这类注入的参数是字符型，SQL语句原貌大致概如下：

    Select * from 表名 where 字段=’连续剧’

    注入的参数为Class=连续剧’ and [查询条件] and ‘’=’ ，即是生成语句：

    Select * from 表名 where 字段=’连续剧’ and [查询条件] and ‘’=’’

    (C) 搜索时没过滤参数的，如keyword=关键字，SQL语句原貌大致如下：

    Select * from 表名 where 字段like ’%关键字%’

    注入的参数为keyword=’ and [查询条件] and ‘%’=’， 即是生成语句：

    Select * from 表名 where字段like ’%’ and [查询条件] and ‘%’=’%’

    当然手工是麻烦的

    用工具的话，我建议用nbsi的工具比较好，就我感觉只有nbsi结合了这个技术，用别的软体是不能注入的

    注入点只要写：

    http://notebook.samsung.com.cn/news/news.aspx?& ... &ST=title&SC=%

    再加个特征字符就可以了

    • 搜索型注入 ASPX搜索型注入 相关文章:
    • 爱情文章
    • 亲情文章
    • 友情文章
    • 随笔
    • 哲理
    • 励志
    • 范文大全

    最新文章

    热点文章

    推荐访问

    军训远足心得体会 军训爬山心得体会 大学军训徒步拉练感想 军训徒步作文 军训徒步10公里感想 军训徒步心得体会 5分钟演讲中秋节节日 中秋一分钟演讲 中秋节演讲稿4分钟 中秋节演讲稿一分钟 中秋节演讲稿五分钟 3-5分钟 中秋节短篇演讲稿 中秋节演讲稿两分钟 中秋节的演讲稿3分钟 关于中秋节的演讲稿三分钟 孩子体验军训的心得 参加孩子军训活动的感受与收获 家长对孩子军训后的收获和感悟 小孩军训的收获与感悟 学生军训的收获与感悟 孩子军训成长过程家长感悟 孩子军训感悟 孩子军训心得体会 孩子军训的收获与感悟 兵役前训练心得体会 部队当兵的心得 新兵役前教育训练心得体会 预备役军训心得体会 新兵军训感悟

    本文搜索型注入 ASPX搜索型注入由山茶花美文网整理提供，版权归原作者、原出处所有。

    Copyright © 山茶花美文网 All Rights Reserved.