以下源码实现的功能是:只限制本单位内部网的用户进行访问(在此假设内部网的IP地址是从10.61.96.至10.65.97.之间)，如果是单位外部用户进行访问则要求输入访问用户名及密码。在此要使用到request对象的ServerVariables属性，通过它来获得环境变量的值。
程序源码(firewall.asp)如下：
<html>
阅读全文……SQL注入天书—ASP注入漏洞
BY-- 小竹
引 言
随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。
SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的_blank">防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。
阅读全文……Tag : asp | SQL注入跨站式SQL注入
BY 老凯(laokai)
在屏蔽了错误信息的机器上，获得网站绝对路径。
前一阶段，在尝试攻击一个网站的时候，发现对方的系统已经屏蔽了错误信息，用的也是普通的帐号连接的数据库，系统也是打了全部的补丁这样要攻击注入是比较麻烦的。。因此我自己搞了一种“跨站式SQL注入”。。
阅读全文……Tag : SQL注入 | ASP怪异的SQL注入
文 by AMANL[BST]
SQL注入以独特、新奇、变异的语句迎来了技术又一大突破，当然要针对奇、特这两方面作文章，要达到一出奇招，必达核心！那才是SQL注入技术的根本所在。长期以来，MS SQL以它强大的存储进程给我们带来了极大的方便，而如今注入技术主要依靠IIS出错与MS SQL系统提示信息来判断，那利用SELECT构造特殊语句，使系统出错来得到我们要的更深入的信息，如爆库、爆表等，能不能取得详细信息呢？答案是能，但必出奇招！下面我们一步步来拆解奇招！
首先打开MS SQL查询分析器，输入：
阅读全文……Tag : SQL注入如何利用Sql 注入遍历目录
关于如何取得注入入口不再说了，前面的帖子都说得很详细了，我们就如何浏览全部目录和文件进行研究
当System_user为"sa"时，具有全部权限，包括执行master.dbo.xp_cmdshell,如果这个存储过程没有改名或删除，我们可以利用它来遍历全部目录，执行如下：
先创建一个临时表：temp
阅读全文……Tag : SQL注入SQL Injection技巧的演练原著: sk@scan-associates.net
翻译人: demonalex
摘要:
阅读全文……Tag : SQL注入
用户登陆
站点日历
站点统计
最新评论
日志搜索
友情链接
其他信息
