看了某牛出版的MySql手注天书一神书,基本上解决了SQL注入上的知识点,于是打完(酱油)省赛回来通宵了一晚上写了个工具 方便语句构造SQL 联合查询 报错注入 盲注 读写 命令执行 基本都有整合 遇到新的姿势我会继续完善 .方便比赛和学习注入的知识下载链接在下面 http://pan.baidu.com/s/1kVsKlxH…

普通注入: 数字注入 字符注入 base64注入:和常规的方法没有说明区别,主要是解码然后编码: 如果普通注入不行,尝试大小写绕过,编码等绕过: 如果不行尝试盲注: POST注入 0x00 常用的 注入点:http://tetasp.vulnweb.com/Login.asp 几种注入方式: sqlmap -r search-test.txt -p tfUPass 其中search-test.txt的内容为以下所抓的post包 0x01 常参数的 sqlmap -r search-test.tx…

软件名称: XueTr 0.45 (手工杀毒辅助工具)软件语言: 简体中文授权方式: 免费软件运行环境: Win7 / Vista / Win2003 / WinXP 软件大小: 3.3MB图片预览: 软件简介:一个强大的手工杀毒辅助工具,支持32位的2000.xp.2003.vista.2008和Win7操作系统. 目前实现如下功能:1.进程.线程.进程模块.进程窗口.进程内存.定时器.热键信息查看,杀进程.杀线程.卸载模块等功能2.内核驱动模块查看,支持内核驱动模块的内存拷贝3.SSDT.S…

发现存在sql注入漏洞 简单一点可以直接用sqlmap工具暴库 但是如果想深入理解sql注入的原理,可以尝试手工注入,配合python脚本实现手工猜解数据库 首先hachbar开启 获取cms登录后的sessionid值 开始构造sql payload 获取数据库名的长度: page=1&rows=15&sort=CREATE_DATE,(SELECT (CASE WHEN (length(database())=8) THEN 9441 ELSE 9441*(SELECT 9441 FR…

又一款linux提权辅助工具 – Linux_Exploit_Suggester 2013-09-06 10:34 1455人阅读 评论(0) 收藏 举报 https://github.com/PenturaLabs/Linux_Exploit_Suggester Linux_Exploit_Suggester是一款根据操作系统版本号自动查找相应提权脚本的工具,如果不带任何参数运行该脚本的话,将执行uname -r返回的操作系统发行版本,或者手工输入-k参数查找指定版本号. 例子: $ perl…

SQL手工注入(一) SQL注入:通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令.[SQL注入原理] ##服务端程序将用户输入参数作为查询条件,直接拼接SQL语句,并将查询结果返回给客户端浏览器 用户登录判断 SELECT * FROM users WHERE user='uname' AND password='pass'SELECT * FROM users WHERE user='name' AND password='' OR…

https://www.cnblogs.com/Charltsing/p/ADBJumpTY.html 联系QQ:564955427 本程序为Windows版,不要在手机里面打开. 汤圆向前冲辅助工具 因为手残,用以前微信跳一跳的辅助工具改了一下,手工跳. 1.如果是xp sp3或者windows7 sp1,请百度下载安装.net 4.0或更高版本 2.本程序自带ADB,无需自行安装.想自己下载的用下面的链接,下载之后将ADB相关的三个文件放到本程序同一目录下 adb工具包最新2017Googl…

转自脚本之家: 看看下面的1.判断是否有注入;and 1=1;and 1=2 2.初步判断是否是mssql;and user>0 3.判断数据库系统;and (select count(*) from sysobjects)>0 mssql;and (select count(*) from msysobjects)>0 access 4.注入参数是字符'and [查询条件] and ''=' 5.搜索时没过滤参数的'and [查询条件] and '%25'=' 6.猜数据库;and (…

看看下面的1.判断是否有注入;and 1=1;and 1=2 2.初步判断是否是mssql;and user>0 3.判断数据库系统;and (select count(*) from sysobjects)>0 mssql;and (select count(*) from msysobjects)>0 access 4.注入参数是字符'and [查询条件] and ''=' 5.搜索时没过滤参数的'and [查询条件] and '%25'=' 6.猜数据库;and (select C…

本来想找个装安全狗的站试下绕过,safe dog没找到,但随便一搜搜到一个小站有SQLi,正好借此机会复习下手工注入(新版Firefox我吐槽一下,hackbar这么好用的工具,说阉割就阉割,哎) 小站没有上WAF,用1=1.1=2就可以检测注入点,就不放截图了. 然后order by .联合查询什么的也都是基本操作..直接进入最关键的手工爆表好了.(已知第二列和第三列有回显,MySQL version是5.6,所以直接从information_schema中就可以方便的查询) 1.爆其他数据库…