从事网络信息安全,对SQL注入都不陌生(通过构建特殊的输入作为参数传給Web应用程序,通过执行SQL语句进而执行攻击者的操作,其主要原因是由于程序未过滤客户端提交的数据,而导致SQL注入的产生),手工练习SQL注入是为了让用户了解不同数据库的结构,掌握利用工具运行测试的原理,深刻明白SQL注入漏洞的形成根源,墨者学院准备了不同的数据库靶场环境(有MySQL、Access、SqlServer、SQLite、MongoDB、Db2、PostgreSQL、Sybase、Oracle)供用户测试、研究、学习。

抛开工具,拒绝当“脚本小子”,一起来体验手工的乐趣吧!

我们一起来手工练习SQL注入吧!

其他SQL注入环境
更多靶场环境
正常业务与产生SQL注入(SQL Injection)时数据处理流程

正常数据处理流程

  • 客户端页面提交http://mozhe.cn/Login.php?User=admin&Pass=mozhe#2018
  • 应用程序获得客户端提交的参数内容:用户名=admin   密码=mozhe#2018
  • 应用程序处理SQL语句select * from manager where user='admin' and pass='mozhe#2018'
  • 数据库执行select * from manager where user='admin' and pass='mozhe#2018'成功,结果为True
  • 应用程序处理数据库执行返回的结果
  • 客户端页面返回登录成功信息

产生SQL注入时数据处理流程

  • 客户端页面提交http://mozhe.cn/Login.php?User=abc' or '1'='1&Pass=12345
  • 应用程序获得客户端提交的参数内容:用户名=abc' or '1'='1   密码=12345
  • 应用程序处理SQL语句select * from manager where user='abc' or '1'='1' and pass='12345'
  • 数据库执行select * from manager where user='abc' or '1'='1' and pass='12345'成功,结果为True
  • 应用程序处理数据库执行返回的结果
  • 客户端页面返回登录成功信息

加入墨者学院可立即获得20墨币

可免费开启靶场环境

点击注册领取

已有账号,立即登录