数据窃贼V1.0测试版使用指南.pdfVIP

数据窃贼V1.0（测试版）

数据窃贼使用了《利用SQL注入MSSQLServer》中描述的技术，从易受SQL注入且使用S

QLServer作为后端数据库服务器的Web应用程序数据库中检索信息，这些应用程序对外部连接过滤不严。

数据窃贼将从易受的Web应用程序数据库中提取数据，并在将数据发送到你控制的SQLServer后显示数

据。

在使用此工具之前，必须在Web应用程序中找到一个可以利用SQL注入的点，例如：你发现

’ing存在，然后尝试在易受的URL查询字符串中找到一个

点SQL，如’;select1--，你可以开始使用数据窃贼。

在Web应用程序中找到可以利用SQL注入的点后，你只需要将SQL注入点替换为URL查

询字符串中的***。，如果数据是通过HTTPPOST方法提交的，则替换为POST数据中的相应位置。

例如：