說到網(wǎng)站，最常見的就漏洞注入攻擊了，很多網(wǎng)站都具有這樣的漏洞。注入漏洞也是最有效也是最簡(jiǎn)單的入侵網(wǎng)站的途徑。網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)攻防的一個(gè)過程，知道如何攻的才能知道如何防守。下面筆者就自己的親身經(jīng)歷給大家介紹一下網(wǎng)站漏洞注入攻擊。
先說一下一般的步驟：
首先，尋找注入點(diǎn)，判斷類型。
分別用下面三中方法測(cè)試，看看上面三個(gè)網(wǎng)址返回的結(jié)果。
(1)http://www.xxx.com/1.asp?id=1
(2)http://www.xxx.com/1.asp?id=1 and 1=1
(3)http://www.xxx.com/1.asp?id=1 and 1=2
可以注入的表現(xiàn)：
(1)正常顯示(這是必然的，不然就是程序有錯(cuò)誤了)
(2)正常顯示，內(nèi)容基本與(1)相同
(3)提示BOF或EOF(程序沒做任何判斷時(shí))、或提示找不到記錄(判斷了rs.eof時(shí))、或顯示內(nèi)容為空(程序加了on error resume next)
不可以注入就比較容易判斷了，(1)同樣正常顯示，(2)和(3)一般都會(huì)有程序定義的錯(cuò)誤提示，或提示類型轉(zhuǎn)換時(shí)出錯(cuò)。
說到入侵網(wǎng)站，最常見的就漏洞注入攻擊了，很多網(wǎng)站都具有這樣的漏洞。注入漏洞也是最有效也是最簡(jiǎn)單的入侵網(wǎng)站的途徑。網(wǎng)絡(luò)安全就是網(wǎng)絡(luò)攻防的一個(gè)過程，知道如何攻的才能知道如何防守。下面筆者就自己的親身經(jīng)歷給大家介紹一下網(wǎng)站漏洞注入攻擊。
先說一下一般的步驟：
首先，尋找注入點(diǎn)，判斷數(shù)據(jù)庫(kù)類型。
分別用下面三中方法測(cè)試，看看上面三個(gè)網(wǎng)址返回的結(jié)果。
(1)http://www.xxx.com/1.asp?id=1
(2)http://www.xxx.com/1.asp?id=1 and 1=1
(3)http://www.xxx.com/1.asp?id=1 and 1=2
可以注入的表現(xiàn)：
(1)正常顯示(這是必然的，不然就是程序有錯(cuò)誤了)
(2)正常顯示，內(nèi)容基本與(1)相同
(3)提示BOF或EOF(程序沒做任何判斷時(shí))、或提示找不到記錄(判斷了rs.eof時(shí))、或顯示內(nèi)容為空(程序加了on error resume next)
不可以注入就比較容易判斷了，(1)同樣正常顯示，(2)和(3)一般都會(huì)有程序定義的錯(cuò)誤提示，或提示類型轉(zhuǎn)換時(shí)出錯(cuò)。