E neste vídeo vamos dar uma olhada em algumas dicas e truques que você pode
usar enquanto explora cura ou injeções.
Então, vimos antes que as duas principais instruções que usamos para descobrir injeções de Eskdale são a declaração
e a instrução ORDER BY.
Agora, alguns sites tentam implementar a segurança verificando a consulta que você está usando para um número de palavras,
e eles colocam essas palavras na lista negra para que, se existirem, não executem a consulta.
Por exemplo, eles verificam palavras como e ou espaços de seleção de união e coisas assim.
Agora, vemos como podemos ignorar a segurança ou a filtragem de sites do cliente usando processos verbais.
Esta é apenas outra maneira de contornar alguns tipos de filtros que são usados ​​e do lado do servidor, se
eles estão usando uma lista negra dessas palavras, então você pode contorná-los usando as maneiras que vamos falar.
Agora, por exemplo, digamos que você está tentando descobrir e dimensionar injeção e usar uma declaração
válida do Taipan e uma é igual a uma.
Então, ao invés de fazer isso, você pode simplesmente digitá-lo assim.
Então um capital e oe então use dois dois dois iguais a dois
1:58 E de outra forma você pode fazer e manter todos os.
E depois coloque 1 1 1 igual a 1 1 1.
Desta forma, sua consulta será aprovada.
Mesmo que o site marcado tenha sido incluído na lista negra, o mesmo vale para o Order By.
Você pode digitá-lo assim e poderá executar essa consulta mesmo que eles tenham colocado a ordem das palavras na
lista negra agora.
Deixe-me deixar apenas executar isso para você aqui, para que você veja quando capitaliza letras como essa,
a consulta continuará funcionando.
Então, se nós apenas digitarmos essa ordem por um.
Na verdade eu esqueci de colocar meu comentário aqui.
E aqui vamos nós, você pode ver que ele é executado exatamente da mesma maneira quando você escreve a ordem por
um sem sem maiúsculas.
Agora, outra coisa é que os sites, por vezes, Blacklist é o espaço para que eles não permitam espaços
no OR mais.
Agora podemos ignorar isso escrevendo um comentário positivo ou duplo em vez do espaço.
Então, vamos dar uma olhada em uma consulta que estávamos antes.
Então, nós geralmente fazemos um sindicato, selecionamos um dois por exemplo e então o fechamos com nosso comentário, que é o
percentual 23 agora depois dessa palestra nós podemos realmente rodar a declaração assim para podermos escrevê-la
como união com maiúsculas selecione novamente capitalizar alguns das letras e, em seguida, chegamos a um para
soltá-lo com o nosso comentário.
E se os espaços estão sendo usados ​​se os espaços estão na lista negra, então podemos colocar o Plus em vez disso.
Assim, podemos fazer um sindicato mais selecionar mais um para quatro, podemos escrevê-lo como comentários duplos do sindicato, então abrimos um
comentário e o fechamos selecione "Abrir um comentário" e fechá-lo para abrir um comentário e
fechá-lo.
Agora estas declarações serão executadas exatamente como a declaração normal.
Deixe-me mostrar-lhe aqui.
Então não entre na injeção de Maskil.
Colocamos o número um como de costume, isso funciona.
Agora podemos apenas entrar aqui fechar a citação e colocar uma declaração.
E como você pode ver agora, a instrução é executada com sucesso e podemos
ver que podemos usar o número um e dois para obter valores do banco de dados.
Outra coisa a ter em mente são os comentários, por vezes, os comentários estão na lista negra ou, por
vezes, nem todos os comentários funcionam quando você tenta comentar o resto do código.
Portanto, há vários comentários que você pode experimentar em nossos exemplos. Vimos a hashtag ou
a porcentagem 23 foi a melhor que você também pode usar força como estrela ou menos menos como comentários.
Às vezes, você também tem que terminar as declarações, então você tem que adicionar um
ponto-e-vírgula para dizer que este é o fim da declaração e depois adicionar seu comentário e também pode usar a barra
dupla como um comentário também.
Então, vemos em nossos exemplos novamente a hashtag foi a que funciona para nós, mas às vezes isso não funciona,
então você pode tentar tudo o que você pode tentar encaminhar para uma faixa, você pode tentar a estrela da
floresta e você pode tentar o menos menos .
Se isso não funcionar, então você deve ir em frente e adicionar o ponto-e-vírgula no final e
tentar novamente uma barra torrid para frente barra slash menos e a hashtag.