XiaodiSec day024 Learn Note 小迪渗透学习笔记

XiaodiSec day024 Learn Note 小迪渗透学习笔记

记录得比较凌乱,不尽详细

day24 sql injection

知识点

脚本代码与数据库前置只是

access 数据库注入

mysql 数据库注入

前置知识

开始

数据库类型不同,流程会不同

access 和 asp 目前使用量较少,实战中不容易碰到

漏洞产生根本条件:特定变量,特定函数

网址最后有参数为可注入,如果没有参数则抓包,考虑是否通过其他方式提交

注入语句位置

位置应当与有注入的字段相关

sql 注入工具流程

  1. 猜测数据库类型

    如 asp 配 access

  2. 采取攻击流程

order by 查询列数量

23 报错说明有 22 个

union 1-22 form admin

access:

暴力破解无果可尝试偏移注入

随机的爆

mysql:

一个网站对应一个数据库

统一管理

最高权限 root

用户思路:

非 root 用户- 常规猜解

root 用户 - 文件读写操作,跨库查询注入等

如何判断当前用户是否为 root

白盒直接看配置文件,黑盒用 user()

mysql5.0 以上版本 有自带数据库 information_schema, 其下的 columns, schemata 表很有用

获取数据库相关信息 :

--version 是否有 information_schema

-user() root 用户

-@@version_compile_os 看操作系统是否支持大小写

-database()数据库名字

https://www.crfbehavioralhealthcare.org/researchDetails.php?id=MS==
相关推荐
懒惰才能让科技进步17 分钟前
从零学习大模型(十二)-----基于梯度的重要性剪枝(Gradient-based Pruning)
人工智能·深度学习·学习·算法·chatgpt·transformer·剪枝
love_and_hope33 分钟前
Pytorch学习--神经网络--搭建小实战(手撕CIFAR 10 model structure)和 Sequential 的使用
人工智能·pytorch·python·深度学习·学习
Chef_Chen36 分钟前
从0开始学习机器学习--Day14--如何优化神经网络的代价函数
神经网络·学习·机器学习
芊寻(嵌入式)1 小时前
C转C++学习笔记--基础知识摘录总结
开发语言·c++·笔记·学习
准橙考典1 小时前
怎么能更好的通过驾考呢?
人工智能·笔记·自动驾驶·汽车·学习方法
hong1616881 小时前
跨模态对齐与跨领域学习
学习
阿伟来咯~2 小时前
记录学习react的一些内容
javascript·学习·react.js
Suckerbin2 小时前
Hms?: 1渗透测试
学习·安全·网络安全
水豚AI课代表3 小时前
分析报告、调研报告、工作方案等的提示词
大数据·人工智能·学习·chatgpt·aigc
聪明的墨菲特i3 小时前
Python爬虫学习
爬虫·python·学习