dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

前幾天微軟skype的官方博客網(wǎng)站被黑客突破，雖然很快進行了修復，但從網(wǎng)友截屏的圖片來看，應該一些抗議美國國安局監(jiān)聽行為和反對微軟在軟件里隱藏后門的黑客所為。dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

微軟skype的官方博客使用的是WordPress平臺，Wordpress目前是世界上流行的博客平臺，市場占有率高達70%，這次攻擊事件雖然牽涉到wordpress，但并不能說明wordpress平臺很脆弱，事實上脆弱的是wordpress上多達百萬的各種第三方插件，這些插件的質(zhì)量良莠不齊，如果你使用錯誤的插件，沒有及時更新到新版本，那你的wordpress網(wǎng)站就會成為黑客的目標。dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

All Video Gallery就是這樣的一個典型例子。早在2012年6月份就有安全網(wǎng)站公布這個插件的1.1版有嚴重的安全漏洞，但我今天還是很輕松的使用谷歌搜到了仍然使用這個有漏洞的插件的網(wǎng)站。本文就是要以這個網(wǎng)站為靶子，給大家實戰(zhàn)講解黑客是如何利用sql注入技術(shù)攻破一個網(wǎng)站的。dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

這個網(wǎng)站看起來像是印度或巴基斯坦的某個公立學校的網(wǎng)站。我不想在這里透露這個網(wǎng)站的真實地址，如果你也想實戰(zhàn)一下，可以自己架設一個wordpress網(wǎng)站，安裝上這個有安全漏洞的插件。如果你真的有興趣想看看這個網(wǎng)站、非惡意的，請關(guān)注我的微薄 @外刊IT評論，和我私信聯(lián)系。dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

SQL注入的基本原理dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

sql注入成因主要是對頁面參數(shù)沒有進行非法字符校驗導致，比如說一個訂單頁面要顯示某個客戶的所有訂單列表，這個頁面的地址可能是http://xxx.com/list.php?customID=3，我們推理，這樣頁面的后臺處理的sql應該是這樣的：dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)

select * form custom_order where custom_id = {$_GET['customID']}dzd北京網(wǎng)站設計開發(fā),小程序開發(fā),公眾號,微信開發(fā)-云智互聯(lián)