中国网络渗透测试联盟

标题: mysql注入对and or的过滤及uinon select等过滤的一个方法突破 [打印本页]
作者: admin    时间: 2013-2-23 12:41
标题: mysql注入对and or的过滤及uinon select等过滤的一个方法突破
1.and 用&& 代替- y; Q# d5 x" Z! e

/ H% w4 p5 ~* M$ |2. or 用||代替
. l: I# @% m. m# d: i+ L# t# {
; S* v7 V* t. \; ?3.union select from 变成 /*!union*/这种。
( j- L7 }$ B! h3 T2 u+ j
  J0 S3 R% d/ H1 R2 u8 `一个例子：3 J1 S, F. _1 _; V* ?' r) s+ n

9 w: g1 C& O  N/ select 1 /*!union*/ select 2 from adad where 1&&1. Y( t. e# g; H3 ?, }/ W8 E

: @1 Y. ?. D5 O/ a+ C: w摘自 it_security
7 u+ P5 f9 I6 y4 B( ?' `. u/ ?* A: i# i
绕过waf的一个思路
$ \; ^' I' X/ j$ M. A" f2 i* e/ T+ `' [9 W: u




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2