历史上的今天
返回首页

历史上的今天

今天是:2025年02月25日(星期二)

正在发生

2019年02月25日 | 如何判断网站是否有SQL注入漏洞并利用它进行攻击?

2019-02-25 来源:威客安全

今天呢?带领大家认识一下web十大漏洞之SQL注入。

关于SQL注入

SQL注入是最常见最被人们熟悉的web漏洞。根据百科的解释:所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到 。

注意事项

今天我们在虚拟机环境下测试一个有SQL注入漏洞并且利用它对网站进行攻击。因为类似的渗透测试过程在没有经过对方允许的情况下,是属于违法的哟!所以大家最好也是在虚拟机上实验。或者你自己有一个个人网站,你可以把它当成小白鼠。

环境

平台:VMware

虚拟机:Linux kali、一个有漏洞的虚拟机win2008

测试开始

首先打开VMware,运行kali和win2008(有漏洞)。网卡选择桥接模式哦!这样能让本机和虚拟机在同一个网段,方便我们在外部主机访问虚拟机。

在win2008运行完全之后,打开phpstudy(自己安装),点击启动,开启MySQL和apache服务。

在命令行查询win2008的IP地址,我的是192.168.200.22(外部主机IP是192.168.200.21)。打开主机的浏览器,输入192.168.200.22/cms/。来到了我们的有漏洞的网站,我们的攻击对象。

随便点进一个子网页,我们看看网址栏,发现有点意思!

在网址后面加上and 1=1,网页正常显示,输入and 1=2,网页报错,证明,这是存在SQL注入漏洞的页面。

利用sqlmap进行SQL注入

点开kali系统,打开命令行,输入sqlmap,这是Linux自带的工具,不需要安装哦!

复制好网址然后在kali命令行输入命令:sqlmap -u "http://192.168.200.22/cms/show.php?id=38" --dbs。意为查询数据库,查询网页背后是使用什么数据库的。 中间会弹出几次询问提示,按照提示操作就行了,我的是yes,yes,no。

终于,等待了几分钟之后,我们查询到了背后的数据库类型,为以上十种。

查询到了数据库,那我们当然要继续往下查询,查询cms数据库下面的表,查询语法:sqlmap -u "http://192.168.200.22/cms/show.php?id=38" -D cms --tables。

非常奇怪,这里的截图上传不了,一上传就会破烂掉,难度头条不能发类似的截图吗?算了,大家按着操作就行了。

查询到了表,就要往下查询列了,查询到了列,找到password和usename类似的列的字段值,就能知道数据库的账户的账号和密码了,密码是md5加密的,网上随便找一个在线解密就行了(不过sqlmap好像是连解密也解出了的,直接给你明文了)。


推荐阅读

史海拾趣

Good Will Instrument Co., Ltd.公司的发展小趣事

对于恒温箱控制器电路,网友可能会有多种问题,以下是一些常见问题及其详细回答:

一、恒温箱控制器电路的基本原理是什么?

回答
恒温箱控制器电路的基本原理是通过温度传感器(如热敏电阻、热电偶等)实时检测恒温箱内的温度,并将检测到的温度信号转换为电信号(如电压或电流信号)。这个电信号随后被送入控制器中进行处理,与预设的温度值进行比较。如果检测到的温度高于或低于预设值,控制器会发出指令,通过调节加热元件(如电热丝、加热管等)或制冷元件(如压缩机、半导体制冷片等)的工作状态,使恒温箱内的温度回到预设值,从而实现恒温控制。

二、恒温箱控制器电路常见的故障有哪些?

回答
恒温箱控制器电路常见的故障包括但不限于以下几种:

  1. 温度显示异常
    • 可能原因:温度传感器损坏、控制器内部电路故障、显示屏故障等。
    • 解决方法:检查并更换损坏的温度传感器、修复或更换控制器内部故障电路、更换显示屏等。
  2. 温度控制不准确
    • 可能原因:控制器参数设置错误、温度传感器位置不当、加热/制冷元件故障等。
    • 解决方法:重新校准控制器参数、调整温度传感器位置、检查并修复加热/制冷元件等。
  3. 控制器无法启动
    • 可能原因:电源故障、控制器内部保险丝熔断、电路板短路等。
    • 解决方法:检查电源是否正常、更换熔断的保险丝、修复电路板短路等。

三、如何检查恒温箱控制器电路是否正常工作?

回答
检查恒温箱控制器电路是否正常工作,可以按照以下步骤进行:

  1. 检查电源
    • 确认电源插头是否牢固插入插座,电源线是否完好无损。
    • 使用万用表测量电源电压,确保在控制器要求的范围内。
  2. 检查温度传感器
    • 使用万用表测量温度传感器的电阻值或电压值,与标准值进行比较,判断传感器是否正常。
    • 检查传感器与控制器之间的连接是否牢固可靠。
  3. 检查控制器显示
    • 观察控制器显示屏上的温度读数是否准确,有无异常显示。
  4. 检查加热/制冷元件
    • 检查加热/制冷元件是否正常工作,可以通过观察其工作状态或使用万用表测量其电流/电压值来判断。
  5. 进行功能测试
    • 设置一个预设温度值,观察恒温箱是否能准确达到并保持在预设温度。
    • 如果条件允许,可以使用更精确的温度测量设备(如高精度温度计)对恒温箱内的温度进行校验。

四、如何维护和保养恒温箱控制器电路?

回答
为了保持恒温箱控制器电路的长期稳定工作,可以进行以下维护和保养工作:

  1. 定期清洁
    • 定期清洁恒温箱内部和外部的灰尘和污垢,防止对控制器电路造成不良影响。
    • 清洁时应断开电源,并使用合适的清洁工具和清洁剂。
  2. 检查连接
    • 定期检查温度传感器、加热/制冷元件与控制器之间的连接是否牢固可靠,如有松动应及时紧固。
  3. 校准参数
    • 定期对控制器进行校准,确保温度读数准确可靠。
    • 校准时应按照控制器的使用说明书或生产厂家的建议进行操作。
  4. 更换老化部件
    • 对于已经老化或损坏的部件(如温度传感器、加热/制冷元件等),应及时进行更换。
  5. 注意使用环境
    • 恒温箱应放置在通风良好、干燥清洁的环境中,避免阳光直射和潮湿环境对控制器电路造成损害。
  6. 定期维护
    • 定期对恒温箱进行全面检查和维护,包括控制器电路、加热/制冷系统、进出料装置等部分。
    • 维护时应按照设备的操作手册和生产厂家提供的维护保养指导进行。
HEC Inc公司的发展小趣事

机顶盒,全称为数字视频变换盒,是现代家庭娱乐中不可或缺的重要设备。从广义上讲,任何与电视机连接的网络终端设备均可视为机顶盒,其发展历程涵盖了从模拟频道增补器到数字卫星、地面及有线电视机顶盒的广泛范畴。而从狭义角度看,机顶盒特指那些具备数字处理能力的设备,如IPTV机顶盒、DVB-S卫星机顶盒、DVB-T地面机顶盒及DVB-C有线电视机顶盒等。

机顶盒的核心功能在于接收并转换数字电视信号,使之能在传统或智能电视上播放。它不仅能接收来自有线电缆、卫星天线及宽带网络的信号,还能提供电子节目指南、网页浏览等增值服务。通过机顶盒,用户能够享受到高清乃至4K超高清的电视节目,体验更为细腻的画面和震撼的音效。此外,机顶盒还具备网络交互能力,支持在线购物、观看网络视频、玩游戏等多元化活动,使电视机从单向接收信息的设备转变为智能互动终端。

随着技术的不断进步,机顶盒正朝着高清化、智能化方向发展。未来,机顶盒将不仅限于基本的信号接收与解码功能,还将融入更多智能推荐、语音识别等先进技术,为用户提供更加个性化、便捷的娱乐体验。总之,机顶盒作为连接电视与互联网的桥梁,正以其丰富的功能和广泛的应用场景,不断满足用户日益增长的娱乐需求。

Captive Fastener公司的发展小趣事

Captive Fastener公司深知产品质量是企业生存和发展的关键。公司建立了严格的质量管理体系,从原材料采购到生产加工、产品检验等各个环节都进行严格把关。此外,公司还定期对员工进行质量意识和技能培训,确保每一道工序都符合质量标准。这些措施有效提升了公司的产品质量和客户满意度。

Excelitas公司的发展小趣事

随着技术的不断成熟和市场的扩大,Excelitas公司开始寻求全球扩张。公司先后在北美、欧洲和亚洲设立了研发中心和生产基地,以更好地服务全球客户。在全球扩张的过程中,Excelitas注重本土化战略,积极与当地企业合作,共同开拓市场。这一策略不仅帮助公司快速融入当地市场,还促进了公司业务的持续增长。

贝特莱公司的发展小趣事

贝特莱与小米的合作是其发展历程中的又一重要事件。作为小米全系列合作伙伴,贝特莱为米家智能门锁提供了独家指纹传感器和定制算法芯片。随着米家智能门锁销量突破百万大关,贝特莱也实现了销售上的重大突破。这一合作不仅证明了贝特莱技术的成熟与可靠,也进一步提升了其在智能门锁市场的地位。

ADPOW公司的发展小趣事

ADPOW公司始终将技术研发作为公司发展的核心驱动力。公司投入大量资源用于研发新技术、新产品,不断推陈出新。同时,公司积极与高校、研究机构等合作,引进先进技术和人才,为公司的持续发展注入新的活力。

问答坊 | AI 解惑

printk()问题,急待解决!

   各位大侠:     我现在是交叉编译了一个驱动模块,现在已经能够成功的加载在开发板上,这个开发板是MIPS处理器,上面跑的是linux系统。但是我的程序里有printk()函数,按道 理说应该可以打印出信息在/var/log/messages里 ...…

查看全部问答>

谁能用比较通俗的语言告诉下驱动下的kobject和sys干什么用的?

谁能用比较通俗的语言告诉下驱动下的kobject和sys干什么用的?谢谢!…

查看全部问答>

有没人在调试S3C6400下的SPI通信,我的怎么怪怪的,设置成接收模式,还没接数据源,SPI中断会被不断地被触发,不知道为什么?干扰吗?!

有没人在调试S3C6400下的SPI通信,我的怎么怪怪的,设置成接收模式,还没接数据源,SPI中断会被不断地被触发(进了SPI中断,接到的数据个数一般为1个,数据不定,0X00和0XFF居多),不知道为什么?干扰吗?怎么查干扰因素?!…

查看全部问答>

51中,设置定时器,然后启动定时器的汇编语句怎么写?

51中,设置定时器,然后启动定时器的汇编语句怎么写? …

查看全部问答>

为什么用UART发送数据前要加延时?

我用UART做的一个小的发送数据的程序,数据发送采用的是中断的方式.采用485转232和上位机通信,用串口调试精灵观察接收到的数据.现在的问题是:如果在发送数据前不加延时接收到的数据就是错误的,可是查了很多单片机资料都没说要在发送数据前要加延时, ...…

查看全部问答>

显示控件的值改变来控制事件结构有什么方法可以做到

显示控件的值改变来控制事件结构有什么方法可以做到 通过计算可以使显示控件的值在True和fault之间变化,希望用这个值改变来控制事件结构,但事件结构好像只能用输入控件,也试过网上所说的值(信号)但是发现不管显示值 有否变化,那一个事件一 ...…

查看全部问答>

HelloM3应用笔记--TI M3 Tempest C1版本编程说明

  2010年5月份以后生产的Tempest系列C1版本的芯片,其前4K内部Flash里打了一个复位补丁,所以所有的用户程序的代码起始地址需要修改为0x1000,在用户程序的启动代码中,需要将FLASH Controll的中断向量指向0x881的地址(注意不要将该补丁擦除 ...…

查看全部问答>

版主请教

版主  请教 我使用STM32F101C8做了一个板 并且写了下面的程序,我的目的是想PORT B输出高低电平 方波 程序也编译了0 error 0 warning 也下载到芯片里面successful, 但是我使用示波器看了B口没有输出高低电平 帮我看看是那里的 ...…

查看全部问答>

版主求教virtualComPort

硬件连接电路如:USB电路.jpg和cpu.jpg所示,电源4脚USB_HOST_DEC接AD,不过现在不用。CPU为STM32F103VCT6,采用外部晶振12M,固件库采用STM32_USB-FS-Device_Lib_V3.2.1中的virtual_Com_port。 按照USB时钟要求,已经把PLLCLK配置为72M,USB ...…

查看全部问答>

STM32的同步注入模式怎么用啊?

STM32的同步注入模式怎么用阿?怎么设置都只能使得ADC1可以转换,ADC2似乎没有反应。/******************************************************************************** Function Name  : ADC_Config* Descr ...…

查看全部问答>