Pic by Baidu 0x 00 前言 正是SQLMAP这种神器的存在,SQL注入简直Easy到根本停不下来.... PS:国内类似软件也有阿D,明小子,挖掘机,当你用过他们之后你才会发现SQLMap才是绝对的注入神器 0x 01 注入原理 *****************************************开始分割线***************************************** 存在注入的原因是因为后台在编写程序时,没有对用户输入的数据做过滤导致的,正如事…

0x 00 前言 SQLMAP 0x 01 注入原理              不说了 *****************************************结束分割线***************************************** 0x 02 安装SQLMap 1. 安装python 官网https://www.python.org/ 选择最新版本下载安装即可 因为SQLMap使用Python写的 ,所以没有Python的环境SQLMap无法运行 1.linux下…

Sqlmap 开源,python编写 支持5种SQL注入检测技术: 1.基于布尔的注入检测 2.基于时间的注入检测 3.基于错误的注入检测 4.基于UNION联合查询的检测 5.基于堆叠查询的检测 支持的数据库管理系统(可能不支持mongodb): mysql.oracle.postgresql.sql_server.access.DB2等 其他特性: 数据库直接连接(相当于数据库的一个client):-d 与burpsuite.google结合使用,支持正则表达式限定测试目标 注入检测包含Ge…

要想熟悉目标网站的体系架构,知道网站有哪些目录是必不可少的 向AWVS,Burp类大型扫描工具也可以进行目录扫描,不过个人感觉远没有专业扫描工具来的简单,实在 0x 01 DirBuster 简介:DirBuster是Owasp(开放Web软体安全项目- Open Web Application Security Project )开发的一款专门用于探测Web服务器的目录和隐藏文件.   由于使用Java编写,电脑中要装有JDK才能运行. 1. 配置说明 点击Options—Advanced O…

作为时下流行的端口扫描工具,Nmap有因其扫描的隐密性有“端口扫描之王”之称 上图是黑客帝国(The Matrix)中崔妮蒂用Nmap入侵核发电站的能源管理系统 0x 01 Nmap介绍 Nmap是一款用于网络发现和安全审计的安全工具,常用于端口扫描. 用法: nmap [扫描类型] [参数] 目标IP 1. 扫描类型 -sT TCP 连接扫描,会在目标主机中记录大量的链接请求和错误信息 -sS SYN扫描,只完成三次握手前两次,很少有系统记入日志,默认使用,需要root(admin)权限 -s…

乌云社区上一个小伙伴的对xsser.me 的源码做了 BS 的优化,本人已经搭建好,提供给大家免费使用,大牛求绕过,多谢. 地址: http://xss.evilclay.com (目前开放注册,不需要邀请码) 测试效果:…

0x 00 前言 写这篇博客,证明我还活着…… 0x 01 安装Nessus  直接官网  www.tenable.com/products/nessus/select-your-operating-system 选择Nessus Home版下载,下载之后点击安装我这里是Nessus-6.1.0-x64版(附件处有百度网盘链接) 安装开始设置一个用户名和密码(记住,使用Nessus时会验证) 然后选择文件安装目录 之后会提示更新插件,这个要通过官网注册获取激活码来更新的 我们在官网 www.te…

一. 前言 之前很着迷于代码自动生成,减少写重复代码的工作量.网络上也搜索了很久,有基于插件的,有GUI的.但其配置和学习成本都比较高,都不是很如我意. 本想自己用SpringBoot写一个,在收集相关的资料的时候, 偶然找到了人人开源实现的一个renren-generator项目,也正好是Spring Boot搭建的,也就下载下来,自己玩起来了.结合自己项目修改模板使用过后, 还是很方便的.我也不重复造轮子了.那么接下来就说说使用心得. 字段类型与实体类型可以自由配置支持 表前缀可以设置是否取…

sqlmap 重要参考 http://www.kali.org.cn/forum-75-1.html SQLmap是一款用来检测与利用SQL漏洞的注入神器.开源的自动化SQL注入工具,由Python写成,具有如下特点: 完全支持MySQL.Oracle.PostgreSQL.Microsoft SQL Server.Microsoft Access.IBM DB2.SQLite.Firebird.Sybase.SAP MaxDB.HSQLDB和Informix等多种数据库管理系统. 完全支持布尔…

sql注入问题从WEB诞生到现在也一直没停过,各种大小公司都出现过sql注入问题,导致被拖库,然后存在社工库撞库等一系列影响. 防止sql注入个人理解最主要的就一点,那就是变量全部参数化,能根本的解决sql注入问题.比如代码里写sql或数据库层面写存储过程,只要不拼接sql语句,不执行动态sql语句,那就能防止sql注入. 但实际情况sql语句可能非常复杂.很多年前有讨论很热的话题,非常复杂的业务逻辑到底用sql语句在存储过程里来实现,还是在代码service层来实现复杂的业务逻辑.比如电信移动…