web安全测试技术SQL注入检测工具sc - Web开发

TUhjnbcbe - 2021/9/27 20:33:00

白癜风医的好吗 http://baidianfeng.39.net/a_cjzz/130724/4225829.html
HPScrawlr

HewlettPackard公司提供了一款免费的工具，供人们用来爬行他们的站点，并从中查找安全漏洞。

Scrawlr是由HP的web安全研究团队开发的，可用于对单独的网页进行SQL注入漏洞的检测和利用。这个程序运行速度非常快;在运行期间，它可以利用HP的智能引擎技术来创建和动态执行SQL注入。最后，它还能提高一份简单的报告来供管理员分析有关结果。如果该程序成功的话，就会看到数据库和各种表。Scrawlr下面是Scrawlr的两个截图：SQL注入黑客可以使用简单的SQL命令来进行插入、删除操作，甚至能控制整个数据库。黑客可以先在web中查找数据库，然后通过简单的注入命令来返回机密数据，并将其复制粘贴到自己的机器中。下面是一个简单的SQL注入范例：下面我们来绕过登录表单。这里是来自实际应用代码片段：

SQLQuery="SELECTUsernameFROMUsersWHERE

Username=‘"

strUsername"‘ANDPassword=‘"strPassword"‘"

strAuthCheck=GetQueryResult(SQLQuery)

IfstrAuthCheck=""Then

boolAuthenticated=False

Else

boolAuthenticated=True

EndIf

这是一个典型的登录处理，终端用户来到站点，然后提交他们的用户名和口令。随后，这个查询从“Users”表中寻找是否有与提供的用户名和口令匹配的记录。对于糟糕的ASP代码或者PHP代码，黑客将能使用下列类型的代码来发动进攻。
　　注入代码：
　　用户名：‘OR‘‘=‘
　　口令：‘OR‘‘=‘这个会使SQLQuery变成下面的样子：SELECTUsernameFROMUsersWHEREUsername=‘‘OR‘‘=‘‘ANDPassword=‘‘OR‘‘=‘‘这样，黑客只是在应该输入有效用户名的地方键入了一个字符串：‘OR‘‘=‘，就轻而易举地绕过了登录屏。总结执行SQL注入的方法数以千计，这里介绍的并不是理想的“黑客”代码。本文不是关于黑客技术的，而是关于如何保护网站的。HP只是众多能够保护您的网站中的工具之一。对于保护信息资产来说，渗透测试是一种重要的手段。它不仅有助于测试代码，而且还能帮您测试防火墙。不过Scrawlr软件也有其不足之处，例如：最多只能爬行个URL地址在爬行期间无法进行脚本解析在爬行期间无法解析Flash在爬行期间无法提交表单仅有简单的代理支持没有身份验证或者登录功能不能检测SQL盲注添加小唐老师