基于时间差的SQL盲注技巧

    [多云 September 7, 2008 17:10 | by !4p47hy ]
冷漠PS:基于时间差的SQL盲注技巧 2008 DEFCON 16全球黑客大会上发布的论文,和之前发布的盲注工具配合起来使用。

作者提出的技巧的主要思路是:在盲注(blind SQL injection)时,如果不同SQL injection 指令的结果,无法由 HTTP Response 本身得知,那么可以用时间差的方式判断。可以设计一个很耗时的 SQL 指令,这时如果 SQL injection 成功,那么这个SQL injection 指令的执行结果,会影响到 Web server 回复 HTTP response 的速度,这个就可以用来判断 SQL injection 指令执行的结果。

Time-Based Blind SQL Injection using heavy queries:
A practical approach for MS SQL Server, MS Access, Oracle and MySQL databases and Marathon Tool

作者:
Chema Alonso
Microsoft MVP Windows Security,Informática64
José Parada
Microsoft IT Pro Evangelist,Microsoft

打包内容包括演讲的论文稿以及幻灯片 pdf格式

Technology | Comments(1) | Trackbacks(0) | Reads(12528)
xt9
November 5, 2008 01:55
思路不错。不过好像安全天使那帮家伙早就写过了...
Pages: 1/1 First page 1 Final page
Add a comment
Emots
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
emotemotemotemotemot
Enable HTML
Enable UBB
Enable Emots
Hidden
Nickname   Password   Optional
Site URI   Email   [Register]
               

Security code Case insensitive