鬼仔's Blog

by :vera

网软天下企业网站管理系统很多参数都是直接用request("id") 来接收参数，为什么他们那么放心呢？原来他们都包含了一个非常流行.很多ASP程序里都用的防注入代码,真的只需在有参数提交的文件中include防注入文件就是了安全吗?我们来看看这个防注入文件。

Check_Sql.asp
<%

Dim Query_Badword,Form_Badword,i,Err_Message,Err_Web,name

'------定义部份 头----------------------------------------------------------------------

Err_Message = 1 '处理方式：1=提示信息,2=转向页面,3=先提示再转向
阅读全文 »

鬼仔注：我把代码放到了一个单独的txt中，大家看的时候注意那个txt的链接。

文章作者：Mika[EST]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

俺前些日子发的那个cookie注入辅助工具php版，由于是命令行下解析执行的，所以一般都只能在本机执行（在肉鸡上你需要安装php解释器），用起来也不方便。而且输出的信息也比较难看。正好前些日子做测试的时候，俺抓到一只台湾鸡，支持php。于是俺就想把这个工具写成web版的，放到肉鸡上去执行，这样既能节省本机资源，而且又比较隐蔽（能隐藏自己的IP，而且可以访问到GFW不让你访问的站），对我唯一的难处就是我不太懂html，上学的时候学的都是用dreamweaver做个简单的网页。但是现在我一没有dreamweaver 阅读全文 »

文章作者：MIKA[EST]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

好久没发帖子了，嘿嘿~~~上班了，很少能上网了哦~~~~昨天俺回到家，学校领导给俺打电话说让俺帮忙检测一下学校新更新的网站安全做得怎么样，哎~~~虽然俺一百个不乐意但是领导的面子还是要给的嘛
结果，找了N久也没找到什么洞洞可以用的（PS：俺的水平本来就不怎么样嘛），给领导打电话汇报了一下，说什么花钱买的就是比自己做的好（PS：原来的是俺做的，安全性确实差了点，但俺要求用php写，领导非不让，结果用asp俺是一边看着参考一边写的，能完成就不错了，根本顾不上安全不安全了），俺一听这话可真是气不打一处来，扔下电话俺就给BF打电话，还真灵。半个时辰的工夫，他就在QQ上给俺发了过来：
阅读全文 »

来源：amxku's blog

所谓的 session cookie, 就是站台在你登录成功后，送上一个 cookie，表示你已经通过验证，但与一般cookie不同的是，他并不会存在你的硬盘上，也就是说：在你离开浏览器之后，就会消失，也就是意味：下次你重开浏览器，再进此站，此 cookie 已经不见了。

那么，要怎么让这个 cookie 永远有效呢？说永远太久了
我们就来个 50 年不变吧...

以下是代码片段：
阅读全文 »

作者：lcx
来源：vbs小铺

javascript:
阅读全文 »

鬼仔注：我没有测试。

软件作者：TTFCT
信息来源：邪恶八进制信息安全团队

编写语言：PHP(源代码)
程序功能：自动猜表，自动猜列，自动暴字段内容。

程序编写思路，使用 1＝1和1=2作为判断依据。
其猜表，猜列，暴内容都是基于此原理。

注：cookie1.php为猜表和字段代码，cookie2.php为猜解内容代码，table.txt和column.txt分别为表和字段，可自行添加。

图示

程序及演示动画下载：cookieinj.rar