posts - 227,  comments - 71,  trackbacks - 0

作者提出的技巧的主要思路是:在盲注(blind SQL injection)时,如果不同SQL injection 指令的结果,无法由 HTTP Response 本身得知,那么可以用时间差的方式判断。可以设计一个很耗时的 SQL 指令,这时如果 SQL injection 成功,那么这个SQL injection 指令的执行结果,会影响到 Web server 回复 HTTP response 的速度,这个就可以用来判断 SQL injection 指令执行的结果。

Time-Based Blind SQL Injection using heavy queries:
A practical approach for MS SQL Server, MS Access, Oracle and MySQL databases and Marathon Tool

作者:
Chema Alonso
Microsoft MVP Windows Security,Informática64
José Parada
Microsoft IT Pro Evangelist,Microsoft

.abu.点评:

打包内容包括演讲的论文稿以及幻灯片 pdf格式http://butian.org/security/Learning-materials/20080907/166.html

MarathonTool 功能强大的盲注工具  http://butian.org/security/software/attack/20080907/165.html

posted on 2008-09-15 11:04 %5C 阅读(...) 评论(...) 编辑 收藏