Versuchen wir nun, die Tabellen nach den Tabellen zu filtern, die nur in unserer Datenbank und DWI enthalten sind.
Wir werden also die Wortkleidung auf die gleiche Weise verwenden wie zuvor.
Wir werden also sagen, wo das Tabellenschema der Benutzeroberfläche entspricht, und dann eingeben und wir erhalten einen Fehler.
Und wieder klagt der Fehler über die Zitate.
Die Website verwendet also wahrscheinlich eine Art Sicherheit, die es uns nicht erlaubt, Anführungszeichen zu setzen, und dann sind
Sie raus und wir versuchen, diese Verwendung in Prozent 27 vorher zu umgehen.
Und wie Sie sehen, konnten wir nicht umgehen, dass wir es nicht erkennen konnten.
Wir müssen uns also Gedanken machen, wie man den Datenbanknamen schreibt und nach dem Gleichheitszeichen setzt, ohne die Anführungszeichen
hier zu setzen.
Es ist also eine DVD ohne Anführungszeichen, und wir können das nicht wirklich tun, indem wir den Datenbanknamen als Text schreiben.
Also, was wir jetzt tun werden, verwenden wir Verben.
Und wir werden den Decoder-Teil verwenden, um das Text-DVD-Video in Hex umzuwandeln.
Jetzt ist der Decoder wirklich nützlich und rülpst.
Denken Sie jetzt daran, als ich sagte, dass der Code für den Code 20 Prozent 27 und der
Code für das Hash-Tag 23 ist.
Jetzt können Sie es einfach hier eingeben und dann als gehen und eilen.
Sie befinden sich außerhalb und Sie werden sehen, dass der Code für das Hash-Tag 23 ist.
Sie können Code für jeden gewünschten Text erhalten.
Wenn Sie beispielsweise den Code eingeben, erhalten Sie einen Prozentsatz von 27.
Nun wollen wir den Text hier konvertieren, damit wir ihn nicht zwischen Anführungszeichen schreiben
müssen.
Also müssen wir es tatsächlich in Ziffern umwandeln.
Und wir werden den Text von DVD A mithilfe des Decoderteils von burp in
Hacks konvertieren.
Also gehe ich hier hin.
Geben Sie dort DVD ein, wenn Sie einen Datenbanknamen sagen, und wir werden ihn als Hex kodieren, und wir werden dies als gleich
nach dem März verwenden.
Also benutzen wir es und anstatt DVD-Video einzugeben, sage ich, ich entferne es und tippe es
in null x ein.
Nun muss alles, was in Hex geschrieben ist, mit Null X beginnen.
Also gebe ich den Start mit null ein, um der Datenbank mitzuteilen, dass das, was nach diesen beiden
Zeichen kommen wird, der nächste sein wird.
Daher brauche ich dafür keine Anführungszeichen.
Und dann werde ich den Code setzen, den ich bekommen habe, nämlich 6 4 7 6 7 7 6 1 und das war's.
Also haben wir den Datenbanknamen in Hex umgewandelt.
Ich werde diesen Exploit
hier kopieren.
Ich habe vergessen, das einfache Zitat von Anfang an zu entfernen, da dies die mittlere Stufe ist.
Wir brauchen den Code nicht.
Auf geht's.
Es funktioniert und wir haben die Tabellen, die nur zu unserer aktuellen Datenbank, der DVD, gehören.
Und die Tische sind gegen Arbeit und Benutzer.
Jedes Mal, wenn Sie unsere Arbeitsgesetze anwenden müssen, müssen Sie es auf dieselbe Weise verwenden, wie wir es jetzt getan
haben, indem Sie den Namen, der nach dem Wort kommt, in Hex und Null ohne die Anführungszeichen umwandeln.
Auf diese Weise können Sie die Spalten, die in dieser Anweisung verwendet werden, hier auswählen.
Stellen Sie einfach sicher, dass Sie das einzelne Zitat entfernen, und es wird für Sie funktionieren.
Nun, da die Select-Tabellenanweisung für Tabellen funktioniert hat und diese Anweisung funktioniert, weil sie nahezu
dieselbe Anweisung ist.
Der einzige Unterschied besteht darin, dass dieser Benutzer Benutzer auswählt und der andere anhand des Datenbanknamens auswählt. In
dieser Vorlesung sehen wir, wie wir einige Schwierigkeiten umgehen können, die wir mit Eskdale-Injektionen sehen können.
Wir haben das getan, indem wir den Text in Heggs konvertiert haben und mit dem Injektionsparameter herumgespielt haben.
Anisette also probieren.
Anderes Zitat Entfernen Sie ein Zitat. Vielleicht versuchen Sie es zu verschlüsseln, verwenden Sie
einen Prozentsatz von 27 oder ähnliches.