注册 登录  
 加关注
   显示下一条  |  关闭
温馨提示!由于新浪微博认证机制调整,您的新浪微博帐号绑定已过期,请重新绑定!立即重新绑定新浪微博》  |  关闭

85167118的博客

西安艺语网络传媒印务有限公司

 
 
 

日志

 
 

用工具查找Google是否存在批量注入   

2010-02-22 15:53:17|  分类: 黑客知识 |  标签: |举报 |字号 订阅

  下载LOFTER 我的照片书  |

Google批量注入顾名思义就是批量发现漏洞,然后分别进行注入测试,通过注入等方式达到渗透的目的。

Google批量注入顾名思义就是批量发现漏洞,然后分别进行注入测试,通过注入等方式达到渗透的目的。在SQL注入出现早期和中期由于攻击少,因此测试效果非常明显;在后期由于安全爱好者数量剧增和网站安全意识的提高,比较通用的SQL注入点少了不少,因此批量注入测试效果就要差一些。对于新出来的各个Blog、CMS、BBS以及一些专有系统的SQL注入漏洞,通过Google批量注入其效果还是不错的。

  1使用啊D注入工具搜索SQL注入点

  直接打开“啊D注入工具”,单击“扫描注入点”,先在“检测地址”中输入“http://www.google.com”,在出现Google的页面后,接着在Google搜索框中输入“filetype:asp index.asp?id=1’”然后单击“Google搜索”按钮进行搜索,啊D注入工具会自动检测Google搜索到的结果,如图1所示,一共出现了12个可用的注入点。

  用工具查找Google是否存在批量注入  - 85167118 - 85167118的博客

  图1 通过啊D注入工具批量搜索SQL注入点

  技巧:

  (1)在Google搜索页面中可以设置页面搜索记录显示最高为100项,默认是显示10个搜索记录。

  (2)在批量注入检测时,在间隔一段时间后单击Google搜索记录中页面链接可以进行后面的检测,检测出SQL注入点会自动添加在可用注入点下面。

  2进行SQL注入测试

  在啊D注入工具最下方的SQL注入扫描结果中随机选中一个记录,单击“SQL注入检测”,工具自动进行SQL注入检测,如果该注入点存在并且能够利用,则会给出一定的数据和提示,如图2所示,该SQL注入点可以猜测数据,数据库用户为sepri,用户权限为db_owner。依次选择检测标段和检测字段,最终可以猜测出数据库管理员表中的数据,如图3所示。

  用工具查找Google是否存在批量注入  - 85167118 - 85167118的博客

  图2 猜测数据库中的数据

  用工具查找Google是否存在批量注入  - 85167118 - 85167118的博客

  图3 获取管理员表中的数据

  其后续步骤就是如何通过SQL注入来获取网站获知服务器的Webshell,通过Webshell老提升权限,在此就不赘述了。

 3总结与探讨

  (1)目前Google搜索引擎采取了一些新策略来限制批量注入搜索。Google通过判断搜索来路来对批量搜索SQL注入进行限制,通常要求用户输入验证码来判断搜索是来自软件还是来自个人。

  (2)在批量注入检测中“啊D工具”对asp、aspx、cfm等SQL注入检测效果较好,搜索出结果后通过常规的SQL注入渗透方法即可获取Webshell和服务器权限。其关键点就是对搜索内容的定位,例如针对aspx的sql注入搜索可以是“filetype:aspx index.aspx?id=2”,通过限定网站语言的类型以及页面链接来搜索,如果已知某些系统的漏洞,通过搜索存在漏洞的具体文件,其效果会更有效。

  (3)在实际注入中可以对某一个网站进行定点测试,测试语法:

  Site:www.somesite.com filetype:asp

  通过查看搜索出来的页面链接来进一步分析网站时候存在SQL注入。

  (4)相关渗透测试。在进行Web渗透测试时有可能主站点无法渗透下来,但通过渗透使用这些系统的网站来获取系统的源代码,进而再回到主站进行渗透。通过Google搜索使用该系统的关键字来获取。

 

  评论这张
 
阅读(45)| 评论(0)
推荐 转载

历史上的今天

评论

<#--最新日志,群博日志--> <#--推荐日志--> <#--引用记录--> <#--博主推荐--> <#--随机阅读--> <#--首页推荐--> <#--历史上的今天--> <#--被推荐日志--> <#--上一篇,下一篇--> <#-- 热度 --> <#-- 网易新闻广告 --> <#--右边模块结构--> <#--评论模块结构--> <#--引用模块结构--> <#--博主发起的投票-->
 
 
 
 
 
 
 
 
 
 
 
 
 
 

页脚

网易公司版权所有 ©1997-2017