基于时间差的SQL盲注技巧

2008-9-9 17:19 777 0

摘要: 作者提出的技巧的主要思路是：在盲注（blind SQL injection）时，如果不同SQL injection 指令的结果，无法由 HTTP Response 本身得知，那么可以用时间差的方式判断...

关键词： injection 指令 SQL 结果 Response 如果作者 server 时间差 blind

作者提出的技巧的主要思路是：在盲注（blind SQL injection）时，如果不同SQL injection 指令的结果，无法由 HTTP Response 本身得知，那么可以用时间差的方式判断。可以设计一个很耗时的 SQL 指令，这时如果 SQL injection 成功，那么这个SQL injection 指令的执行结果，会影响到 Web server 回复 HTTP response 的速度，这个就可以用来判断 SQL injection 指令执行的结果。 Time-Based Blind SQL Injection using heavy queries:A practical approach for MS SQL Server, MS Access, Oracle and MySQL databases and Marathon Tool 作者：Chema AlonsoMicrosoft MVP Windows Security,Informática64José ParadaMicrosoft IT Pro Evangelist,Microsoft

声明：文章版权归原作者所有部分文章转自互联网如有侵权请联系 [邮箱地址] 删除