随笔分类 -  Web安全测试

摘要：拖库是指黑客盗取了网站的数据库。撞库是指黑客用拖库获得的用户名和密码在其它网站批量尝试登陆，进而盗取更有价值的东西。由于一些用户在多个网站用相同的用户名和密码，所以撞库是有一定成功率的。现在稍微有点责任感的网站都不会将密码明文保存在数据库中，起码会做一次MD5。要想撞库，必须得知道密码的明文，也就是 阅读全文

摘要：一个SQL 注入的典型例子 变量ShipCity的值由用户提交， 在正常情况下，加入用户输入的是"Beijing" 那么SQL 语句会执行: 但假如用户输入一段有语义的SQL语句，比如: beijing';drop table OrdersTable-- 他的请求为 http://localhost 阅读全文

摘要：XSS 全称(Cross Site Scripting) 跨站脚本攻击， 是Web程序中最常见的漏洞。指攻击者在网页中嵌入客户端脚本(例如JavaScript), 当用户浏览此网页时，脚本就会在用户的浏览器上执行，从而达到攻击者的目的. 比如获取用户的Cookie，导航到恶意网站,携带木马等。 作为... 阅读全文