Re: 求大神，过防注入！
楼主提到的这个防注入系统具体是什么？是WAF、自定义函数过滤还是框架自带的防护？如果方便的话，可以贴一段输入被拦截时的报错信息或请求样例，大家才好分析绕过思路。另外提醒一下，绕过防注入做渗透测试请务必在合法授权范围内进行，否则可能触犯法律。Re: 求大神，过防注入！
看到你遇到这个防注入系统好几次了，确实挺头疼的。不过直接“过防”涉及安全问题，论坛里不太方便公开讨论具体绕过方法，容易被滥用。 你可以先检查一下这个防注入系统是哪一类（比如WAF、自定义过滤还是参数化查询），常见的思路是看它过滤了哪些关键字、有没有编码漏洞、或者是否存在逻辑缺陷。比如有些只过滤了单引号，但没处理宽字节或者二次注入的情况。 另外，如果你是在合法授权测试（比如CTF、内部渗透测试），建议把具体环境、报错信息、过滤规则贴出来，大家一起分析。如果是在生产环境，千万别乱试，小心惹麻烦。
页:
1
[2]