OWASP TOP 10 之第一大漏洞----sql 注入

Soarkey 发布于2021-09-29 09:32 / 3108人阅读

摘要：目录注入原理注入原理注入分类注入分类如何找注入如何找注入检测注入点检测注入点注入提交方式注入提交方式注入攻击支持类型注入攻击支持类型注入防护方法注入防护方法常用的工具常用的工具注入原理注入产生的原因

1.1注入原理

1.1注入原理

注入产生的原因是接受相关参数未经处理直接带入数据库查询操作。

1.2注入分类

数字型字符型搜索型 xx型

1.3如何找注入

1.3.1与数据库交互的相关页面

http://www.*****.com/***.asp?id=xx (ASP注入)

http://www.*****.com/***.php?id=xx (php注入)

http://www.*****.com/***.jsp?id=xx (jsp注入)

1.3.2登录的地方、更新的地方、注册的地方、留言板、查询、删除

1.3.3可能出现注入的地方：http头、cookices、referee、user agent，post提交数据包的地方

1.4检测注入点

单引号或and 1=1 and 1=2

1.5注入提交方式

1）get提交

2）post提交

3）cookie提交

4）http header

1.6注入攻击支持类型

1.6.1union注入（联合注入）

1.6.2information_schema注入

1.6.3基于函数报错注入

1.6.4Http Header注入

1.6.5Cookie注入

1.6.6盲注

1.6.7宽字节注入（核心是必须是GDK编码）

1.7SQL 注入防护方法

1)函数过滤

2)下载防注入文件，通过incloud包含到网站配置文件里

3)白名单

4)PDO预处理

5)使用waf拦截

1.8常用的工具

sqlmap

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/121453.html

为什么主流网站无法捕获 XSS 漏洞？

摘要：二十多年来，跨站脚本简称漏洞一直是主流网站的心头之痛。大多数主流网站，包括谷歌，，以及，都曾受过漏洞的影响。而且，诸如运行时应用自我保护等网关安全技术也有助于检测并防御对漏洞的攻击。二十多年来，跨站脚本（简称 XSS）漏洞一直是主流网站的心头之痛。为什么过了这么久，这些网站还是对此类漏洞束手无策呢？对于最近 eBay 网站曝出的跨站脚本漏洞，你有什么想法？为什么会出现这样的漏网之鱼...

worldligang 2019-06-21 16:29 评论0 收藏0
OWASP 10 大 Web 安全问题在 JEE 体系完全失控

摘要：希望引起大家这些安全问题的足够重视。允许攻击者在受害者的浏览器上执行脚本，从而劫持用户会话危害网站或者将用户转向恶意网站。虽然，JavaEE 内置了一些非常优秀的安全机制，但是它不能全面应对应用程序面临的各种威胁，尤其许多最常见的攻击：跨站攻击（XSS），SQL 注入，Cross-Site Request Forgery (CSRF), 与 XML eXternal Entities...

Cc_2011 2019-06-21 16:26 评论0 收藏0
Web安全之SQL注入漏洞学习（一）

摘要：表示层业务逻辑层数据访问层注入定义原理注入是发生在应用程序与数据库层的安全漏洞。包含了超过种漏洞，涵盖了所有主要的已知漏洞，包括安全风险，最重要的是已经包含了和漏洞。 Web程序三层架构三层架构主要是指将业务应用规划为的表示层 UI、数据访问层 DAL 以及业务逻辑层 BLL，其分层的核心...

lyning 2021-09-29 09:32 评论0 收藏0
网络安全-常见面试题（Web、渗透测试、密码学、Linux等）

摘要：攻击者可能会窃取或修改此类保护不力的数据，以实施信用卡欺诈身份盗用或其他犯罪活动。跨站脚本攻击漏洞的防御策略前端过滤字符，后端白名单例如，只允许固定的标签，设置，防止被读取。目录 WEB安全 OWASP Top 10（2017） Injection - 注入攻击 Broken Authen...

Caizhenhao 2021-09-23 11:20 评论0 收藏0
XSS 攻击在它的面前都弱爆了！

摘要：虽然双十一刚刚过去不久，但是对很多工程师来说，连续熬夜加班的噩梦似乎还没有过去。尤其是像双十一这种活动，对于电商网站的工程师们来说，他们需要彻夜的加班加点来保障网站的稳定性和安全性。比如像这种攻击，在面前就不值一提。虽然双十一刚刚过去不久，但是对很多工程师来说，连续熬夜加班的「噩梦」似乎还没有过去。尤其是像双十一这种活动，对于电商网站的工程师们来说，他们需要彻夜的加班加点来保障网站的...

tracy 2019-07-01 15:32 评论0 收藏0