SQL注入的原理
老師以后有可以有的話講講這個注入的原理，謝謝
冷眼羅漢
2015-06-01
3 回答
舉報
0/150
提交
取消
老師以后有可以有的話講講這個注入的原理，謝謝
2015-06-01
舉報
2015-06-01
sql注入是10年前 2004年才在國內(nèi)開始的?，F(xiàn)在基本很少有簡單注入的方法了。
除非你自己研究源碼，不然普通的注入基本都會被防注入模塊干掉. 像mysql，php等都有相對于的專有方法處理注入問題，這點除非你有明確目的，如果只想嘗鮮？不好意思，這個是10年前的東西，可以學(xué)習(xí)一下理論，無法發(fā)揮大用處。?
還有一點，注入是門藝術(shù)。
通常網(wǎng)絡(luò)想玩攻擊的各位，小弟給各位一個建議?，F(xiàn)在是法治社會，打人前一定要先找好退路，不然就麻煩大了。
通常網(wǎng)絡(luò)看到的，都是啥找肉雞之類的，哎。。。炮灰是怎么煉成的哈哈啊
擴(kuò)展多講一點~?
古語有云磨刀不誤砍柴工，工欲善其事，必先利其器。
網(wǎng)絡(luò)是虛擬的，追蹤都是通過
追查-->肉雞ip----->跨國n級代理IP---->IP----->網(wǎng)路提供商----->用戶注冊信息
a.由此可見避免被短時間堵住，可以通過不同國家多級肉雞代理，跨國合作不是想象那么簡單滴(找點與自己真實國家所對立的肉雞，難度更大哈哈)
b.拿下網(wǎng)絡(luò)供應(yīng)商，把自己所有信息都改成 隔壁王二的家庭住址啥的，信息一定要準(zhǔn)確，不然會被內(nèi)部審查出來。這樣就算你倒霉，網(wǎng)警追查到IP拿到供應(yīng)商對比調(diào)出的登記地址 也不是你自己的，給自己充分的跑路時間
c.明白人一看就 理解了 攻擊，追查的方式?？梢郧ё?nèi)f化，?
再改一下共大家參考
追查-->肉雞ip----->跨國n級代理IP---->IP----->網(wǎng)路提供商----->自己------>肉雞(用戶注冊信息)
改變后的保護(hù)方案，如果網(wǎng)警經(jīng)驗不足，嘿嘿嫁禍他人了。。 這個主要是把自己也算在整個攻擊的一環(huán)，把自己當(dāng)做自己的肉雞。
以上說的簡單，包含很多的東西。新手只看表面，高手不用我再說啥，只定有你們可以借鑒的地方。
我之所以寫這些出來，就是想讓上面想玩sql inject 的朋友，沒保護(hù)別到處測試，小心側(cè)漏~~~
備注:
Duang~MySQLi擴(kuò)展庫來襲... 我還沒看過，找機(jī)會看看~~
以上只是我的個人觀點，僅供客官娛樂~~~
2015-06-02
^-^...
2015-06-05
$username="0' or 1=1 #";
select * from user where username='{$username}' and password='{$password}';
這是個sql注入的例子，將$username賦值為"0' or 1=1 #"，('#'是注釋后面的SQL語句)，SQL語句就變成了：
select * from user where username='0' or 1=1 ??#and password='{$password}';(這里的都注釋了)
因為1=1，所以條件為真了