SQL注入点世界搜索关键字经验.docVIP

SQL注入点世界搜索关键字经验.txt会计说：“你晚点来领工资吧，我这没零钱。”你看得出我擦了粉吗？虽然你身上喷了古龙水，但我还是能隐约闻到一股人渣味儿。既宅又腐，前途未卜。既宅又腐，前途未卜。你被打胎后是怎么从垃圾桶里逃出来的?史上最神秘的部门：有关部门。不可否认，马赛克是这个世纪阻碍人类裸体艺术进步最大的障碍！SQL注入点世界搜索关键字经验谈 SQL(STructured Query Language)是一种数据库查询和程序设计语言，用於存取数据以及查询、更新和管理关联式数据库系统。 SQL注入(SQL Injection)程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL注入。 那么注入点那就是存在安全隐患的网页了. 至于注入原理,不是今天所谈论的话题,大家感兴趣可以从网上搜索下,这方面的资料很多. SQL注入这个历史悠久的漏洞,伴随着B/S模式应用开发的发展,深受广大黑客爱好者的喜爱,从一开始的手工注入,到现在的工具自动注入,使那些不懂SQL的人也可以使用这个漏洞入侵各种网站. 要想应用SQL注入首先要做的就是找注入点,国内的网站通过各种搜索引擎可以方便的搜索到注入点,但是国人最好不要入侵国内网站,一是法律问题,二是道德问题.如果面向世界,那么首先面临的问题是语言不同,搜索的时候不方便,今天和大家谈论的就是有关注入点世界搜索关键字的话题,没有什么技术,讲一些经验之谈,为菜菜们指路. 首先还是简单说下国内网站注入点(查找未知)的搜索方法 搜索关键字: 目的关键字+ in:asp (意义:搜索含有目的关键字,并且网址中含有asp网页) 例如: 黑鹰 in:asp 注: 如果搜索的是aspx(或PHP)的, asp换成aspx(或PHP)就可以了,以下类同. 看操作! 大家看到了,国内的就这么简单一搜索,就搜索出N多注入点,有了注入点,然后就看你水平发挥了.对于国外的,就不能搜索汉字了(地球人都知道),那么我们就找一些世界计算机共同的东西来搜索. 一.英语字母及单词. 大家都知道,计算机是美国人发明的,那么不管是什么国家的服务器,什么国家的操作系统都支持英语的,而且网址多是英文的,那么我们就可以利用这点来搜索. 例如: a in:asp vip in:asp sex in:asp 二.阿拉伯数字 阿拉伯数字是世界通用的数字,不管是网页中,还是网址中,这是不可缺少的东东.其中以年份出现的机会很多.(当然没有单个多,年份就是由单个数字组成的). 例: 0 in:asp 2008 in:asp 三:网站域名 现在的网站多有域名,没有的很少.那么顶级域名也就成了我们可以利用的地方.比如: COM,NET,ORG....而且各国都有各国的顶级域名.如:中国 CN, 日本 JP,美国 US, 韩国 KR 波兰 PL ........ 例: com in:asp (世界通用) JP in:asp (限日本,当然别国也有,你想用这个搜索,那么没人管的了) TW in:asp (限台湾) 2搜索型注入点的找寻和注入方法 目前,一些网站为了方便用户查找网站的资源,都对用户提供了搜索的功能,因为是搜索功能,往往是程序员在编写代码时都忽略了对其变量(参数)的过滤,而且这样的漏洞在国内的系统中普遍的存在,常见的搜索功能代码如下: .................. keyword=trim(request.From(keyword) 获取客户端提交在要查询的关键字,并过滤了两边的空格 if keyword= then 如果关键字为空,则输出下面的查询内容不能为空! response.Write alert(查询内容不能为空!);history.back(-1); response.end end if set rs=server.CreateObject(ADODB.recordset) 创建对象 sql=select * from b_class where b_name like %key