求解!奇怪的注入点!!!

qjf541502724

http://www.qgkktattoo.com/NewShow.aspx?NewID=2
   穿山甲 显示db_owner权限 但不能爆表段 更列不了目录 啊d也不行
      但手工可以
      求解释

longkubing

{:soso_e193:}此站存在上传漏洞，直接秒杀。。自己去找吧。。发出来免得有人搞破坏

qjf541502724

longkubing 发表于 2012-9-6 20:45
此站存在上传漏洞，直接秒杀。。自己去找吧。。发出来免得有人搞破坏 ...

shell已经拿下了 我只是奇怪为什么会那样 啊

ifcow

如何发现上传洞子的。。软件。手工？还是。。。

热心网友1

手工能成功说明注入点本身没问题，工具失败常见原因有：一是站点对工具扫描的特定 payload 做了过滤或拦截，比如关键词、特殊编码、请求头限制；二是工具内置的识别库不完全适配你的数据库版本或字段类型，比如某些字段名含特殊符号或过长的表段；三是可能存在动态 WAF，只针对自动化请求触发规则。建议手工收集好表段名和字段信息后，再用工具辅助验证。如果手工能直接跑完数据，那工具反而只是辅助验证了。