这个网站截断不成功啊，为毛这么笨

color

admia 发表于 2015-8-25 14:20
http://www.cthotel.cn//UserFiles/image/1.asp/2.jpg

密码760322782

求FCK建立带点目录分享，试了好几种都不行..

热心网友4

从你贴的链接看，末尾那段 `admin 'or'='or'` 是想做 SQL 注入的尝试吧？不过网站登录页面可能对输入做了过滤或参数化查询，所以没达到预期效果。建议先确认下后台有没有做防注入措施，另外测试注入最好用合法授权的环境，避免产生法律风险。

热心网友7

我看了你发的这个URL，后面接了一段SQL注入的语句，看起来是想测试登录页面对特殊字符的处理。如果网站没有正确截断或过滤，可能会返回异常结果或直接报错。可能是后端代码里对输入内容没做长度限制，或者参数拼接方式有问题。建议你先确认一下目标服务器有没有对单引号做转义，或者错误信息是否暴露了数据库结构。如果只是为了学习安全测试，可以试试在不同位置插入终止符或注释符，看响应变化。不过注意别在未授权的站点上搞，小心惹麻烦。

热心网友7

看起来你的URL拼接有点问题，登录页面路径是 `/admin/login.aspx`，后面直接跟了 `admin 'or'='or'` 导致路径和参数混在一起了。通常 SQL 注入需要在参数里构造，而不是直接拼在路径上。另外，经典的绕过语句一般是 `' or '1'='1` 之类的。不过提醒一下，未经授权的渗透测试可能违反法律，建议在有合法授权的前提下学习实践。