徐州软件公司_徐州软件开发公司_徐州徐软科技有限公司_徐州ERP软件_徐州OA软件

当前位置 : 首页 > 徐州网络安全技术论坛 > 关于Sql注入以及Burpsuite Intruders使用的一些浅浅的见解

关于Sql注入以及Burpsuite Intruders使用的一些浅浅的见解

作者:徐州软件公司  文章来源:徐州软件公司   阅读次数:172 次
2018-04-05

此文章是徐州软件公司整理的技术资料,由徐州软件公司总务部发布,邮箱:zongwu@xuzhousoft.com

江苏徐软信息科技有限公司江苏徐软信息科技有限公司

前言

最近一直在看关于SQL注入的一些文章,因为很多不懂所以看的比较慢,看的过程中中遇到了很多问题,但是静下心来细细品味一下,发现sql注入还是很有意思的!昨晚在看一篇sql注入的文章是遇到了一个新的问题就是利用bp 的intruder进行批量地猜解数据库中表的名字!刚开始看得很懵逼不知所以然,然后晚上就向大佬请教了一下!大佬一阵操作猛如虎!虽然不是特别明白!但是至少知道了大概!所以今天早上就实际地操作了一下!基本上知道了intruder的用法,所以今天写这篇文章记录一下,同时希望能帮助那些也遇到了跟我相同问题的人

(1)  就拿徐州网络信息安全公司徐州徐软信息科技有限公司实验的这个题来做例子吧:http://ctf5.shiyanbar.com/web/index_3.php

(2) 首先我们输入 1 还有1‘ 发现页面会打印出 hello 然后输入其他则不会打印出任何消息那说明存在注入 

注入点.png

注入点1.png

(3)  这时候我们很自然地想到是不是能猜解一下数据库的名字的所以这时候很自然地想到猜解数据库 http://ctf5.shiyanbar.com/web/index_3.php?id=1‘ and( select count(*)from sdfsdfsdf ) >0 %23

1′ and( select count(*) from sdfsdfsdf ) >0 %23 /这里是一个逻辑与运算,前面恒为1那么这个逻辑运算的结果取决于后面,sdfsdfsdf是随便打的名字,如果sdfsdfsdf存在则后面结果返回为1即 1 and 1 >0 sql语句为真返回结果 否则sql语句为假报错,通过下面报错我们知道该数据库的名字是web1,但是我们想要得到的是数据库中表的名字!按照我们上面的思路只要1′ and(select count(*) from 表名) >0 %23

表名存在他就不会报错!这时候我们不禁要想难道我们要一个一个地试表名?那这要试到猴年马月?

猜解数据库的名字.png

(4)  这时候我们就要借助工具来帮助我们进行批量化处理了-burpsuit中的 intruder

给浏览器使用burpsuit(如果不会可以百度!我个人还是建议使用火狐浏览器)代理然后抓取数据包

抓取数据包.png

(5)  然后进入intruder界面进行有关设置如下图 。因为我们想让burpsuit帮助我们进行批量化替换表名所以我们设置关键词,让工具知道我们想让他批量化替换什么?

批量化处理.png

(6)我们设置完之后,就要告诉工具,我们要进行批量化处理替换的字典在哪?如下图

加载字典.png

(7)  我们加载字典之后,burpsuit会进行很多请求,但是那么多请求结果我们怎么知道哪一个请求结果是成功的请求呢?我们还记得前面如果请求成功!页面是会打印出Hello?所以Hello就是是一个成功请求的标识符这时候我们要进行下图的设置在添加标识符的时候我们会发现系统已经默认地添加了很多,我们可以把系统添加的标识符remove掉

(8)  一切准确就绪后,开始我们的攻击

成功的标识符.png

存在flag表.png

(9)  我们已经知道了数据库名表名,这时候再利用一下神器sqlmap

sqlmap.png

后记

sql注入需要长期的学习,静下心来,慢慢品味,其实发现sql注入还是很有意思的。

江苏徐软信息科技有限公司(简称徐州软件公司)是徐州软件公司中成立时间最长、技术能力最强、经济实力最雄厚的徐州软件开发公司之一,专业的徐州软件开发团队,从事徐州软件开发10年,一直保持着徐州软件开发行业排头兵的地位。徐州软件公司徐州软件开发行业内的众多徐州软件开发公司保持着良好的合作关系,是徐州软件开发行业的领航者之一。徐州软件公司立足徐州软件开发市场,主攻徐州软件开发徐州APP开发徐州软件公司徐州ERP软件开发徐州OA软件开发徐州CRM软件开发等领域拥有大量经典案例。更多信息请访问徐州软件公司官方网站:

徐软com:http://www.xuzhousoft.com  徐软cn:http://www.xuzhousoft.com.cn
徐软app:http://app.xuzhousoft.com  淮北徐软:http://huaibei.xuzhousoft.com.cn
济宁徐软:http://jining.xuzhousoft.com.cn  亳州徐软:http://bozhou.xuzhousoft.com.cn
菏泽徐软:http://heze.xuzhousoft.com.cn  宿州徐软:http://suzhou.xuzhousoft.com.cn
枣庄徐软:http://zaozhuang.xuzhousoft.com.cn  宿迁徐软:http://suqian.xuzhousoft.com.cn
商丘徐软:http://shangqiu.xuzhousoft.com.cn  连云港徐软:http://lianyungang.xuzhousoft.com.cn
莱芜徐软:http://laiwu.xuzhousoft.com.cn  泰安徐软:http://taian.xuzhousoft.com.cn
日照徐软:http://rizhao.xuzhousoft.com.cn  开封徐软:http://kaifeng.xuzhousoft.com.cn
周口徐软:http://zhoukou.xuzhousoft.com.cn  盐城徐软:http://yancheng.xuzhousoft.com.cn
淮安徐软:http://huaian.xuzhousoft.com.cn  阜阳徐软:http://fuyang.xuzhousoft.com.cn
蚌埠徐软:http://bengbu.xuzhousoft.com.cn  临沂徐软:http://linyi.xuzhousoft.com.cn
邳州徐软:http://pizhou.xuzhousoft.com.cn  新沂徐软:http://xinyi.xuzhousoft.com.cn
沛县徐软:http://peixian.xuzhousoft.com.cn  睢宁徐软:http://suining.xuzhousoft.com.cn
丰县徐软:http://fengxian.xuzhousoft.com.cn  萧县徐软:http://xiaoxian.xuzhousoft.com.cn
砀山徐软:http://dangshan.xuzhousoft.com.cn  微山徐软:http://weishan.xuzhousoft.com.cn
永城徐软:http://yongcheng.xuzhousoft.com.cn  网络营销:http://www.f168yingxiao.com
徐州系统集成公司:http://www.0516app.com

关键字标签:徐州软件公司 徐州软件开发公司 徐州APP软件开发公司 徐州ERP软件开发公司 徐州CRM软件开发公司 徐州OA软件开发公司

下载DOC版 下载PDF版

* 以上内容由 徐州软件公司 整理


关于我们

    江苏徐软信息科技有限公司(简称徐州软件)位于国家大学科技园内,成立于2005年,注册资金1000万元,是徐州地区最具实力的集软件开发、电子商务技术服务、门户网站建设、系统集成、网络工程为一体的高科技IT技术公司之一。

技术支持

  • 售后服务电话:0516-83003411
  • 售后服务QQ:412110939
  • 售后服务邮箱:
    service@xuzhousoft.com
  • 售后投诉电话:18795428064
徐州软件公司
    扫描微信二维码即可获得
    免费信息化咨询服务

Copyright© 2005 江苏徐软信息科技有限公司 All Rights Reserved.
苏公网安备 32030302000144号  苏ICP备11059116号-5

地址:江苏省徐州市云龙区和平路57号江苏师范大学科技园4F  徐州软件公司
电话:0516-83737996 邮箱:sales@xuzhousoft.com

江苏徐软信息科技有限公司地图
江苏徐软信息科技有限公司地图
点这里关闭本窗口
×