In diesem Video wollen wir uns einige Tipps und Tricks ansehen, die Sie als Heilmittel
oder als Injektion verwenden können.
Wir haben gesehen, dass die beiden wichtigsten Aussagen, mit denen wir Eskdale-Injektionen entdecken, die Anweisung und
die ORDER BY-Anweisung sind.
Nun versuchen einige Websites, die Sicherheit zu implementieren, indem sie die Abfrage, in der Sie sich befinden, auf eine Anzahl von Wörtern überprüfen
und diese Wörter auf eine schwarze Liste setzen, sodass sie die Abfrage nicht ausführen, wenn sie vorhanden sind.
Zum Beispiel prüfen sie nach Wörtern wie und oder oder vereinen Leerzeichen und ähnliches.
Jetzt sehen wir, wie wir die Sicherheit von Client-Sites umgehen oder mithilfe von Verb-Anzügen filtern können.
Dies ist nur eine weitere Möglichkeit, einige der verwendeten Filter und die Serverseite zu umgehen, wenn sie eine schwarze Liste
dieser Wörter verwenden, können Sie sie auf die Art und Weise umgehen, über die wir sprechen werden.
Nehmen wir zum Beispiel an, Sie versuchen, die Injektion zu entdecken und zu skalieren, und Sie werden eine
gültige Aussage von Taipan verwenden, und eine ist gleich einer.
Anstatt das zu tun, können Sie es einfach so eingeben.
Also ein Kapital und das und dann zwei zwei zwei gleich zwei 1:58
Und anders kann man das alles machen und behält alles.
Und dann setzen Sie es 1 1 1 gleich 1 1 1.
Auf diese Weise wird Ihre Anfrage weitergegeben.
Auch wenn die getaggte Website auf die schwarze Liste gesetzt wurde, gilt dies auch für Order By.
Sie können es wie folgt eingeben und Sie können diese Abfrage auch ausführen, wenn sie die Wortreihenfolge bereits auf der
schwarzen Liste haben.
Lassen Sie mich das hier wirklich für Sie ausführen, damit Sie sehen, wenn Sie Großbuchstaben wie diese verwenden, wird
die Abfrage trotzdem funktionieren.
Also, wenn wir diese Reihenfolge einfach nacheinander eingeben.
Eigentlich habe ich vergessen, meinen Kommentar hier einzufügen.
Und jetzt geht es los, Sie können sehen, dass es genauso ausgeführt wird, wenn Sie eine Order
ohne Großbuchstaben schreiben.
Eine andere Sache, die Websites manchmal als Blacklist verwenden, ist Leerzeichen, sodass sie keine Leerzeichen im
ODER-Element zulassen.
Jetzt können wir das umgehen, indem wir anstelle des Leerzeichens einen positiven oder doppelten Kommentar schreiben.
Schauen wir uns also eine Abfrage an, die wir zuvor hatten.
Wir machen also normalerweise eine Gewerkschaft, wählen zum Beispiel zwei aus und schließen sie dann mit unserem Kommentar. Dieser Prozentsatz beträgt
23. Nach dieser Vorlesung können wir die Aussage tatsächlich so ausführen, dass wir sie als Gewerkschaft
mit Hauptstädten schreiben können von den Briefen und dann kommen wir mit dem einen, um es mit
unserem Kommentar zu schließen.
Wenn die Leerzeichen verwendet werden, wenn die Leerzeichen auf der schwarzen Liste stehen, können wir Pluszeichen anstelle von Leerzeichen verwenden.
Wir können also eine Union plus select plus eins bis vier erstellen und können sie als doppelte Kommentare für
die Union schreiben. Wir öffnen einen Kommentar und schließen ihn. Wählen Sie einen Kommentar.
Diese Anweisungen werden jetzt genau wie die normale Anweisung ausgeführt.
Lass mich dich hier zeigen.
Gehen Sie also nicht in die Maskil-Injektion.
Wir setzen Nummer eins wie üblich, das funktioniert.
Jetzt können wir einfach das Zitat schließen und eine Erklärung abgeben.
Wie Sie jetzt sehen, wird die Anweisung erfolgreich ausgeführt, und wir können sehen,
dass wir die Nummern eins und zwei verwenden können, um Werte aus der Datenbank zu erhalten.
Beachten Sie auch, dass Kommentare manchmal auf einer schwarzen Liste stehen oder nicht alle Kommentare
funktionieren, wenn Sie versuchen, den Rest des Codes zu kommentieren.
Es gibt also eine Reihe von Kommentaren, die Sie in unseren Beispielen ausprobieren können. Wir haben
den Hashtag gesehen oder der Prozentsatz 23 war der beste, den Sie auch als Stern oder Minus als Kommentar verwenden können.
Manchmal müssen Sie auch die Anweisungen beenden, so dass Sie ein Semikolon hinzufügen müssen, um
zu sagen, dass dies das Ende der Anweisung ist. Fügen Sie dann Ihren Kommentar hinzu und Sie können den doppelten Schrägstrich
auch als Kommentar verwenden.
Wir sehen also in unseren Beispielen noch einmal, dass der Hash-Tag für uns funktioniert, aber manchmal funktioniert
das nicht. Dann können Sie alles versuchen, was Sie für eine Schärpe nach vorne schicken können, den Waldstern
und Sie können das Minus-Minus versuchen .
Wenn dies nicht funktioniert, sollten Sie das Semikolon am Ende einfügen und erneut versuchen, einen
sturzförmigen Schrägstrich vorwärts und einen Minus und den Hashtag zu verwenden.