- 1、本文档共21页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
SQL注入与防范
——手工注入mssql数据库
1 任务场景
目录 2 任务分析
CONTENTS 3 预备知识
4 实验步骤
5 总结思考
01 任务场景
任务场景
• 小朱是一名信安专业的大一新生,不久前,他学网站开发的同学写了个网站,让小朱测试下网站的
安全性,小朱欣然答应后,决定先检测是否存在注入点。
02 任务分析
任务分析
• 在不确定是否存在注入点的情况下,可以使用手工注入的方式检验注入点的存在与否,实现注入点
的查找,网站数据库的分析,数据库内容的读取。
03 预备知识
预备知识
• SQL-SERVER的每个数据库内都有sysobjects系统表,它存放该数据库内创建的所有对象,
如约束、默认值、日志、规则、存储过程等,每个对象在表中占一行。
04 实验步骤
实验步骤
打开网络拓扑,点击启动选项,启动实验虚拟机使用ifconfig或ipconfig命令分别获取渗透机和靶机的IP地址,
使用ping命令进行网络连通性测试,确保主机间网络的连通性确认渗透机ip地址,确认靶机ip地址
实验步骤
访问01:81/Index.aspx?id=1
在id=1后加入引号再次访问,即01:81/Index.aspx?id=1,发现报错,说明此处存在注入点
实验步骤
确认注入点后,判断当前网站使用的数据库,由于网站使用的是aspx脚本,
初步判断网站使用的是mssql或者oracle数据库,需进一步判断
通过order by 判断当前表的字段数,当order n返回正确页面而order by n+1 返回错误页面,
则说明当前表的字段数为n个。判断当前表的字段数目的是为了后面使用union select 联合查询语法
实验步骤
01:81/Index.aspx?id=1 order by 4
使用union select联合查询语句获取字符型输入位
实验步骤
通过sysobjects系统表遍历当前数据库所有的表名
选取之前获得的表admin ,通过col_name 和object_id 函数遍历admin表中的所有字段名
实验步骤
选取之前获得的字段名,读取字段内容
通过在线解密网站/解出admin账户的密码为admin
实验步骤
cimer账户的密码为123456
通过离线工具MD5Crack解出admin账户的密码为admin
实验步骤
cimer账户的密码为123456
安装iis版安全狗,防护网站
实验步骤
浏览器访问01:81/Index.aspx?id=1 and 1=1,拦截成功
05 总结思考
总结思考
• 通过手工注入的方式可以确认注入点,判断注入点类型
您可能关注的文档
- 走进数字媒体 课件 项目二 分镜头脚本创作 任务一《天鹅泡芙的制作》任务二 电视广告片《文明,你会在哪里?》任务三 微视频《踏出梦想》.pptx
- 走进数字媒体 课件 项目六 定格动画 任务一 拍摄前期准备、任务二 定格拍摄、任务三 动画剪辑.pptx
- 走进数字媒体 课件 项目三 摄影技术 任务一 摄影器材、任务二 摄影技巧、任务三 布光技术.pptx
- 走进数字媒体 课件 项目四 素材处理 任务一《快乐童年》任务二 音频素材处理任务三 视频素材处理.pptx
- 走进数字媒体 课件 项目五 后期制作 任务一《天鹅泡芙的制作》任务二《时尚芭莎》任务三《美丽西藏》.pptx
- 走进数字媒体 课件 项目一 视觉美感设计 任务一《凉鞋广告》任务二 《工作证》《手机QQ登录界面》.pptx
- 数据库安全——SQL注入与防范——使用sqlmap注入mysql数据库.pdf
- 数据库安全——SQL注入与防范——手工注入access数据库.pdf
- 数据库安全——SQL注入与防范——手工注入mysql数据库.pdf
- 数据库安全——SQL注入与防范——手工注入Oracle数据库.pdf
- 四川省德阳市罗江中学2025届高三考前热身化学试卷含解析.doc
- 山东省枣庄现代实验学校2025届高三下学期第五次调研考试化学试题含解析.doc
- 吉林省长春市十一高中等九校教育联盟2025届高三一诊考试生物试卷含解析.doc
- 2025届江苏省盐城市伍佑中学高考仿真模拟化学试卷含解析.doc
- 2025届广西贺州中学高考冲刺押题(最后一卷)生物试卷含解析.doc
- 安徽省池州市贵池区2025届高三第一次模拟考试生物试卷含解析.doc
- 宁夏银川一中2025届高三(最后冲刺)化学试卷含解析.doc
- 广东省广州市增城区四校联考2025届高考压轴卷化学试卷含解析.doc
- 2025届邯郸市第一中学高考生物必刷试卷含解析.doc
- 2025届安徽省安庆市石化第一中学高考仿真卷化学试卷含解析.doc
最近下载
- 酱卤肉制品检验报告.doc
- 安徽省综合评标评审专家入库、续聘考试试题.pdf VIP
- 2024年甘肃省眼镜验光员竞赛理论选拔考试题库(500题).docx VIP
- 中国近代法律制度课件.pptx
- 2022小学英语新课标考试试题含部分答案(共两套).docx VIP
- 中医外科学男性不育症医学精品课件.ppt
- 2024年河北省眼镜验光员竞赛理论选拔考试题库(500题).pdf VIP
- 计算机应用基础教程(Windows10+Office2016)PPT全套完整教学课件.pptx
- 匀变速直线运动的规律应用教学设计人教课标版(教案).docx
- 2024年396经济类联考综合能力考研真题及答案(缺逻辑).pdf VIP
文档评论(0)