• 《阿古顿巴》藏语版在藏语卫视首播 2019-09-06
  • 晋中市“三同步”推动互联网治理创新 2019-08-27
  • 法媒:研究称美国人常用药物或增加抑郁风险 2019-08-27
  • 宝贝是地名,你能想到这么浪漫的地名在哪儿吗? 2019-08-15
  • 何树山副省长到方圆机电调研指导工作 2019-08-15
  • 大乐透怎么玩算中奖:破解数据库下载漏洞

    来源:本网整理
    点评:作为脚本漏洞的头号杀手锏——数据库下载漏洞,现在已经被越来越多的人所熟知。在这个信息化技术更新飞快的时代,漏洞产生后随之而来的就是各种应对的招数,比如改数据库的后缀、修改数据库的名字等等。很多人以为只要这么做就可以解决问题了,但事实往往不如你 < id="con_ad1"> < id="con_ad8"> 作为脚本漏洞的头号杀手锏——数据库下载漏洞,现在已经被越来越多的人所熟知。在这个信息化技术更新飞快的时代,漏洞产生后随之而来的就是各种应对的招数,比如改数据库的后缀、修改数据库的名字等等。很多人以为只要这么做就可以解决问题了,但事实往往不如你我所愿,即使你这么做了也难逃被高手攻击的命运。为此我们有必要去了解一些攻击的手法,来增强自己的安全技能。 1.强制下载后缀名为ASP、ASA的数据库文件 大多数的网管为了节省时间,网站上的文章系统、论坛等程序都是直接下载别人的源程序再经过部分修改后使用的。而现在很多人做的ASP源程序都已经将数据库的后缀由原先的MDB改为了ASP或ASA。本来这是好事,但在这个信息极度膨胀的社会,老的方法所能维持的时间毕竟有限。对于ASP或ASA后缀的数据库文件,黑客只要知道它们的存放位置,就能轻易地用迅雷这样的下载软件下载得到。 2.致命符号——# 很多网管以为在数据库前面加个#号就可以防止数据库被下载。是啊,我当时也认为IE是无法下载带有#号的文件的(IE会自动忽略#号后面的内容)。但是“成也萧何,败也萧何”,我们忘记了网页不仅能通过普通的方法访问,而且用IE的编码技术也能访问到。 在IE 中,每个字符都对应着一个编码,编码符#就可以替代#号。这样对于一个只是修改了后缀并加上了#号的数据库文件我们依然可以下载。比如 #data.mdb为我们要下载的文件,我们只要在浏览器中输入#data.mdb就可以利用IE下载该数据库文件。这样一来,#号防御手段就形同虚设一般。 3.破解Access加密数据库易如反掌 有些网管喜欢对Access数据库进行加密,以为这样一来就算黑客得到了数据库也需要密码才能打开。但事实正好相反,由于Access的加密算法太脆弱,所以黑客只要随便到网上找一个破解Access数据库密码的软件,不用几秒钟就能得到密码。 4.瞬杀——数据暴库技术 本来数据库暴库技术应该是属于脚本漏洞的行列,之所以拿到这里来说是因为它在数据库下载漏洞中起到了举足轻重的作用,如果仔细一点,读者会发现上面的技巧都是假定知道数据库名的情况下才能实施的。但很多时候我们根本不可能知道数据库的名字,这时我们可能会感到很沮丧,觉得无法再进行下去,但数据库暴库技术的出现不仅可以一扫我们的沮丧情绪,也能让我们真正地将前面的技术综合起来利用。 很多人在用ASP写数据连接文件时,总会这么写(conn.asp): 以下是引用片段:
    db="data/rds_dbd32rfd213fg.mdb"
    Set conn = Server.CreateObject("ADODB.Connection")
    connstr="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath(db)
    conn.Open connstr
    function CloseDatabase
    Conn.clo
    se
    Set conn = Nothing 这段语句看上去觉得并没什么问题,而且数据库的名字取得很怪,如果没有数据库暴库技术我们能猜到这样的数据库名的几率几乎为零。但就是这么简短的语句却隐藏着无限的信息??梢运低暇蟛糠值某绦蚨即嬖谡飧雎┒?。我们只要将地址栏上在数据连接文件conn.asp(一般为这个)前的/用\替代就可以暴到数据库的位置,接下来的事情应该不需要我说了吧?大家只要开动脑筋没有什么事情是做不成的。

    彩票双色球历史开奖结果 www.s9h6.com

  • 本文相关:
  • 看黑客怎样汇编创建简单的窗口
  • 新的挂马方式-ARP欺骗
  • 教你如何手工注入猜解语句
  • 扫不出肉鸡的常见原因
  • 许多高手提升权限技巧
  • 教你两句话 动网8.20的后台被拿下
  • 黑客技巧:利用Log备份获取Webshell
  • 教你如何用ISAPI_Rewrite做IIS防盗链
  • 浅谈文件捆绑技术方式(图)
  • Unicode的消息介绍(图)
  • 免责声明 - 关于我们 - 联系我们 - 广告联系 - 友情链接 - 彩票双色球历史开奖结果 - 频道导航
    Copyright © 2017 彩票双色球历史开奖结果 www.s9h6.com All Rights Reserved
  • 《阿古顿巴》藏语版在藏语卫视首播 2019-09-06
  • 晋中市“三同步”推动互联网治理创新 2019-08-27
  • 法媒:研究称美国人常用药物或增加抑郁风险 2019-08-27
  • 宝贝是地名,你能想到这么浪漫的地名在哪儿吗? 2019-08-15
  • 何树山副省长到方圆机电调研指导工作 2019-08-15
  • 大赢家极速飞艇规律 广西体彩十一选5前三 三分赛车怎么看前7走势图 f捕鱼注册送8元,25提现 世界杯点球大战视频 北京赛车pk10个人技巧 甘肃十一选五怎么选 买双色球还是7星彩 广东快中彩开奖记录 天津快乐十分走势图r 码报资料 河北快三推荐号 七星彩开奖公告 大乐透必中5红绝密公式 广东36选7好彩3