• 业务联系
  • 主机托管
  • 网站建设

  • 专题列表

     

  • 相关内容

     

  • 热点阅读 

    更多

  • 推荐文章 

    更多

  • 载入中…
SQLinjection的实现与应用    热     ★★★
SQLinjection的实现与应用
作者：不详 文章来源：中国论坛网 点击数： 更新时间：2005-5-10

SQL injection可以说是一种漏洞，也可以说成是一种攻击方法，程序中的变量处理不当，对用户提交的数据过滤不足，都可能产生这个漏洞，而攻击原理就是利用用户提交或可修改的数据，把想要的SQL语句插入到系统实际SQL语句中，轻则获得敏感的信息，重则控制服务器。SQL injection并不紧紧局限在Mssql数据库中，Access、Mysql、Oracle、Sybase都可以进行SQL injection攻击。
　　isno的《SQL injection攻击技术》是一篇不可多得的好文章，大家可以看看，但是程序毕竟是各种各样的，有些可以通过修改URL数据来提交命令或语句，有些则不行，不能打URL的主意，怎么办呢？通过修改 < input > 标签内的 value 的值也可以提交我们构造的语句，SQL injection是很灵活的技术，但我们的目的只有一个，就是想方设法饶过程序或IDS的检测和处理提交我们构造的有效语句。

检测漏洞
　　在大多数ASP站点中，我们并不知道其程序代码，靠任何扫描器也不可能发现SQL injection漏洞，这时就要靠手工检测了，由于我们执行SQL语句要用到单引号、分号、逗号、冒号和“--”，所以我们就在可修改的URL后加上以上符号，或在表单中的文本框加上这些符号，比如：

http://localhost/show.asp?id=1'
http://localhost/show.asp?id=1;
……
文章录入：残月    责任编辑：残月 
【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】
  • 上一篇文章：

  • 下一篇文章：

    • 网友评论：

      （只显示最新10条。评论内容只代表网友观点，与本站立场无关！）

    Copyright © 2005-2007 Meizi Story 2006. All Rights Reserved.
    程序内核：PowerEasy® SiteWeaver™ 6.5　技术支持：残月（QQ：146579）
    网站备案序号：蜀ICP备05000759号