第一关：Brute force

low

账号是admin，密码随便输入

 用burp suite抓包

 爆破得出密码为password

 登录成功

 

Medium

中级跟low级别基本一致，分析源代码我们发现medium采用了符号转义，一定程度上防止了sql注入，采用暴力破解也可以完成，在此不过多描述。

 

high

与前面相比，多了一个token

 选择攻击位置和攻击方式

 线程设置为1，因为token，对于每一个包返回来的token值都是不一样的，所以我们只能选择单线程进行攻击

 

往下拉 

 Grep-Extract添加，搜索token

 重定向选择总是

 ​​​​​​​

负载1添加简单字典

 

 ​​​​​​​负载2类型为递归搜索，把第一个抓到的token复制到下面

 然后开始爆破攻击

 发送给repeater

 ​​​​​

 验证成功

 

 impossible

 这一关就是告诉我们怎么防范

 首先是用post方式传参，然后对输入进行转移处理，对登录次数也进行了限制，当用户登录失败达到3次，将会锁住账号15秒，同时采用了更为安全的PDO（PHP Data Object）机制防御sql注入，这里因为不能使用PDO扩展本身执行任何数据库操作，而sql注入的关键就是通过破坏sql语句结构执行恶意的sql命令。

# web安全 # 网络安全
Logo
GitCode 开源社区

旨在为数千万中国开发者提供一个无缝且高效的云端环境，以支持学习、使用和贡献开源项目。

更多推荐

[转载]在Windows环境下安装GNU Radio

转自：在Windows环境下安装GNURadio_恐弱智_新浪博客GNU Radio是用Python开发的，大部分开源的工程能够在Linux环境下运行良好，而Windows下却运行的很勉强，而且安装配置都很复杂。GNU Radio算是个例外了，不光提供了Windows的二进制安装，还有比较详细的说明。我是Python小白，所以折腾了好久才弄好，特意记录下来，免得以后再装还折腾。GNU Radio的

avatar GitCode 开源社区

centOS 8 使用dnf安装Docker

DNF是什么？CentOS 8使用YUM软件包管理器版本v4.0.4。现在，该版本使用DNF(已删除YUM)。DNF是软件包管理器。它会在Linux发行版上安装，执行更新并删除软件包。使用DNF安装Docker跳过具有损坏依赖性的程序包一个有效的解决方案是使您的CentOS 8系统使用以下--nobest命令安装最符合条件的版本：sudo dnf install docker...

avatar GitCode 开源社区

定时同步数据库表(mysql+linux+crontab)

sync.sh里面的参数需要改变，ip/username/password/database/tablesync.sh#!/bin/sh# Please change the IP and password of the data source db.# Then change the table name.filename=/home/nington/db/$(date +%Y-%m

avatar GitCode 开源社区