中国网络渗透测试联盟

标题: mysql注入对and or的过滤及uinon select等过滤的一个方法突破 [打印本页]
作者: admin    时间: 2013-2-23 12:41
标题: mysql注入对and or的过滤及uinon select等过滤的一个方法突破
1.and 用&& 代替. Z4 M5 A, P. H

6 ?" O7 x. F' X1 w) N# Y8 q2. or 用||代替; k/ K! ]7 x$ L$ \+ g

0 p( l$ ^& K" ?! u3.union select from 变成 /*!union*/这种。
7 k0 F1 l- `' a. t$ Y0 }7 p" o0 h$ I
一个例子：
7 B& \8 ~5 U8 J6 }+ @# X$ {) V3 ]! |1 L% I
/ select 1 /*!union*/ select 2 from adad where 1&&11 z+ w5 H+ D% {8 N0 M: X! ?% }/ v
& P8 R8 ?, V( d) o
摘自 it_security
4 W5 n: u: W) L1 f* C4 f& G- D4 ?$ d8 f+ S$ \- Y
绕过waf的一个思路3 M2 n" D& E) y! N* R9 f

* u" A- s$ f/ b* H8 p  m6 ^4 l



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2