手工检测到某些程序存在表单注入时,你可以这样做。
第一种方法:你可以使用嗅探器抓包看看提交数据,然后构造个注入点。
第二种方法:你可以查看提交页面的网页源程序,找到提交数据到哪个文件,并分析提交方式【get/post】提交数据的变量名,然后构造注入点...
其实很多人都知道..发出来给新手开拓思路而已..
[欢迎光临] : 提示:如果你觉得音乐太吵闹,请你选择下面静音版浏览博客。
中国知音在线 http://Online.bycnboy.com
[漏洞] 韩国购物整站BBSHOP4.5分析
一.漏洞成因:
在BBSHOP4.5整站的shop目录下的gongji.php有如下代码:
<?
if($ck_gongji_id!=$gongji_id) {
$sql = " update $notice_table set gongji_hit=gongji_hit+1 where gongji_id=$gongji_id ";
mysql_query($sql);
}
$sql = " select * from $notice_table where gongji_id = $gongji_id ";
$row = mysql_fetch_array(mysql_query($sql));