当前位置: 首页 > news >正文

17网站一起做网店广州国大什么平台可以推销自己的产品

17网站一起做网店广州国大,什么平台可以推销自己的产品,芜湖设计公司排名,北京企业网站备案JAVA 在 SQL执行当中 分为3种写法: JDBC注入分析 Mybatis注入分析 Hibernate注入分析 JDBC 模式不安全JAVA代码示例部分特征 定义了一个 sql 参数 直接让用户填入id的内容 一个最简单的SQL语句就被执行了 使用安全语句却并没有被执行 Mybatis: #…

JAVA  在    SQL执行当中 分为3种写法:

JDBC注入分析

Mybatis注入分析

Hibernate注入分析

JDBC 模式不安全JAVA代码示例部分特征

定义了一个 sql 参数 直接让用户填入id的内容

一个最简单的SQL语句就被执行了

使用安全语句却并没有被执行

Mybatis:  #   和  $的区别

并没有看见SQL 语句 为什么

因为这个JAVA是调用了两个库这两个库里面有调用SQL的函数

其中不安全的示例代码在user.java的库

在MyBatis中,#$ 用于表示不同的参数插入方式,它们的主要区别在于如何处理参数插入的安全性和方式。

# 标记(Prepared Statement)

  • 安全性: 使用 # 标记,MyBatis 会将参数作为 PreparedStatement 的参数进行处理,自动防止SQL注入攻击。
  • 占位符: 参数会被替换为一个 ? 占位符,然后在执行SQL时,数据库驱动会将实际的参数值绑定到占位符上。
  • 优点: 安全性高,适用于动态参数的情况。
  • 示例:
     sql 

    复制代码

    SELECT * FROM users WHERE name = #{name}

    在这个例子中,#{name} 表示参数name,在生成的SQL语句中会被替换为一个 ?,然后在执行时再绑定实际的参数值。

$ 标记(字符串替换)

  • 安全性: 使用 $ 标记时,MyBatis 直接将参数的值插入到SQL语句中,不进行任何转义或保护,因此存在SQL注入风险。
  • 直接插入: 参数值会被直接拼接到SQL语句中,这在处理列名、表名等结构性元素时比较有用。
  • 优点: 灵活性高,但不适合动态参数的使用,容易产生安全隐患。
  • 示例:
     sql 

    复制代码

    SELECT * FROM users ORDER BY ${column}

    这里,${column} 会被替换为传入的参数值,例如 name,结果是生成类似 ORDER BY name 的SQL语句。

选择使用的建议

  • 对于动态值(如用户输入的字符串、数值等),应该使用 # 来防止SQL注入。
  • 对于动态SQL语句的结构部分(如列名、表名等),如果需要使用动态插入,可以使用 $,但需确保传入的值是可信的,不会导致SQL注入。

Hibernate:

安全写法 写完name=name后先进行了预编译

不安全写法直接拼接

总结

实操-靶场

1.先分析SQL用的哪种模式

在路径中找特征 jdbc  mybatis hibernate  有的写不完整 搜索myba

找到了是myba并且知道了版本

找到了包 或许SQL就是用这个实现的  我们需要进入 看看

继续翻找找到了真正源码一般在resources


article 上下双方的目录是一一对应的

搜不到 # 有问题不知道什么原因没有进行编译 网上搜搜原因老师随便点几下就好了 说不是编译的原因

2.然后找到成功

总结又加了一条 in

因为有IN 所以程序员只能写$value 

这个时候我们就要去实地去测试有没有对那些SQL语句进行过滤

3.把定义的id名进行搜索


搜索点了第一个含有这个函数声明的地方但是没看见任何内容

老师Ctrl shift +h

单击进去看调用

然后审计完之后,发现是要管理员账号登录进去之后 才能进行的注入,需要得到管理员cookie,然后抓包后修改好包的路径  然后 cookie加上 然后把包的内容保存到1.txt

sqlmap.py -r 1.txt 对包进行扫描

对存在注入点加上*让sqlmap识别到

但是为什么在请求体内加上

参数articelld*进行注入我是没看懂的我没有审计到  感觉应该是articlid 这样的话参数我就懂了

有的地方看起来有注入 如下 全是美元符号

为什么注入不成功 因为有int 把我们的符号全变为整数

http://www.dinnco.com/news/35140.html

相关文章:

  • 做100个网站效果长尾词优化外包
  • ps做的网站如何转入dw台州seo排名优化
  • 临夏城乡建设局网站网站优化搜索排名
  • 企业的外币收入外管局网站做啥链友咨询
  • 外贸公司网址广告投放优化师
  • 英文网站公司长沙seo网站优化
  • 网站空间后台推广官网
  • 网站丢失怎么解决关键词搜索神器
  • 东莞专业网站建设平台做网站设计哪里有
  • 网站建设的语言与工具怎样优化网站关键词排名靠前
  • 网站里的聊天怎么做开发制作app软件
  • 网站建设_免费视频天津seo优化公司哪家好
  • 校园网站建设标书网站百度收录批量查询
  • 成都住建局官网平台seo专业课程
  • wordpress win主题天津抖音seo
  • 未备案网站 赚钱推广平台排行榜
  • 住房和城乡建设管理委员会网站营销官网
  • 重庆网站房地产百度账号登陆
  • 中国室内设计联盟登录搜索引擎优化的核心本质
  • 站酷设计网站官网入网址推荐
  • 做 英语试题的网站torrentkitty磁力官网
  • 在线流程图网站怎么做推广通
  • 网站开发工作总结电商运营公司简介
  • 因酷西安网站建设公司怎么样国内重大新闻
  • 天津大寺网站建设泉州关键词搜索排名
  • 番禺区网站建设seo网站排名优化服务
  • windows做网站服务器充电宝seo关键词优化
  • 广西高端网站建设公司长沙百度搜索排名优化
  • 那些免费网站做推广比较好上海最新政策
  • asp 网站后台阿里云模板建站