W tym filmie przyjrzymy się niektórym wskazówkom i sztuczkom, które można wykorzystać, wykorzystując
jako lekarstwo lub zastrzyki.
Tak więc widzieliśmy przed dwoma głównymi stwierdzeniami, których używamy do odkrywania zastrzyków Eskdale'a, to oświadczenie
i instrukcja ORDER BY.
Teraz niektóre witryny próbują zaimplementować zabezpieczenia, sprawdzając zapytanie, które jest l, dla wielu słów, i zamieniają
je na czarne listy, tak, że jeśli istnieją, to nie wykonują zapytania.
Na przykład sprawdzają pod kątem słów takich jak i / lub łączenia wybranych przestrzeni i tym podobnych.
Teraz widzimy, jak możemy obejść zabezpieczenia witryn klienckich lub filtrowanie przy użyciu kombinezonów czasowników.
To tylko kolejny sposób na ominięcie pewnego rodzaju filtrów, które są używane i strony serwera, jeśli używają czarnej
listy tych słów, a następnie można ominąć je za pomocą sposobów, o których będziemy mówić.
Teraz powiedzmy na przykład, że próbujesz odkryć i skalować iniekcje, a użyjesz poprawnego
oświadczenia Taipan, a jeden będzie równy jednemu.
Zamiast tego możesz po prostu wpisać to tak.
A więc stolica, a następnie użyj dwóch dwóch dwóch równa się dwa razy
1:58 I w inny sposób możesz zrobić i zachować wszystkie.
A potem wpisz 1 1 1 równa się 1 1 1.
W ten sposób zapytanie zostanie przekazane.
Nawet jeśli otagowana strona internetowa jest na czarnej liście i tak samo dzieje się w przypadku zamówienia.
Możesz wpisać to tak, więc będziesz mógł wykonać to zapytanie, nawet jeśli na czarnej liście zamawiał
już słowo.
Pozwól mi po prostu uruchomić to dla ciebie tutaj, aby zobaczyć, kiedy wielkie litery będą takie jak to
zapytanie nadal będzie działać.
Więc jeśli po prostu wpisujemy tę kolejność przez jeden.
Właściwie to zapomniałem umieścić tutaj swój komentarz.
I oto widzimy, że robi się to dokładnie w taki sam sposób, gdy piszesz zamówienie bez jednego
bez wielkich liter.
Inną rzeczą, że witryny sieci Web czasami Czarna lista jest przestrzeń, więc nie pozwalają na miejsca w
OR ELSE.
Teraz możemy ominąć to, pisząc zamiast spacji plus lub podwójny komentarz.
Przyjrzyjmy się więc zapytaniu, na którym byliśmy wcześniej.
Zwykle robimy związek, na przykład wybierz jedną dwójkę, a następnie zamykamy ją z naszym komentarzem, który jest procentem 23
teraz po tym wykładzie możemy rzeczywiście uruchomić to zdanie tak, abyśmy mogli napisać to jako
połączenie z dużymi literami wybierz ponownie kapitalizuj niektóre listów, a następnie wymyślamy ten, który należy
usunąć z naszym komentarzem.
Jeśli spacje są używane, jeśli spacje są na czarnej liście, możemy zamiast tego umieścić Plus.
Tak więc możemy zrobić związek plus zaznaczenie plus jeden do czterech, możemy zapisać go jako podwójne podwójne komentarze, więc otwieramy komentarz i zamykamy
go wybierz Otwórz komentarz i zamknij go, aby otworzyć komentarz i zamknąć go i to
wszystko.
Teraz te instrukcje będą wykonywane dokładnie tak, jak normalne instrukcje.
Pozwól, że ci pokażę.
Więc nie idź do zastrzyku Maskil.
Ustawiliśmy numer jeden jak zwykle to działa.
Teraz możemy po prostu przyjść tutaj, zamknąć cytat i wydać oświadczenie.
I jak widać teraz, instrukcja jest wykonywana pomyślnie i widzimy,
że możemy użyć numeru jeden i dwa, aby uzyskać wartości z bazy danych.
Inną rzeczą, o której należy pamiętać, są komentarze, które czasami są na czarnej liście lub
czasami nie wszystkie komentarze działają, gdy próbujesz skomentować resztę kodu.
Tak więc istnieje wiele komentarzy, które możesz wypróbować w naszych przykładach, w których widzieliśmy
hashtag lub procent 23 był najlepszy, możesz również użyć siły takiej jak gwiazda lub minus minus jako komentarzy.
Czasami musisz również zakończyć instrukcje, więc musisz dodać średnik, aby
powiedzieć, że to koniec wyciągu, a następnie dodać komentarz i możesz również użyć podwójnego ukośnika
jako komentarza.
Widzimy więc w naszych przykładach, że tag hash był tym, który działa dla nas,
ale czasami to nie działa, możesz spróbować wszystkiego, co możesz spróbować przeskoczyć do skrzydła, możesz wypróbować
gwiazdę lasu i wypróbować minus .
Jeśli to nie zadziała, powinieneś dodać końcówkę średnika na końcu i ponownie spróbować
skasowanego ukośnika w przód, minus minus minus i hashtag.