注入-夜火博客

Lxblog 是 PHPWind 开发的一套基于 PHP+MySQL 数据库平台架构的多用户博客系统，强调整站与用户个体间的交互，拥有强大的个人主页系统、独立的二级域名体系、灵活的用户模板系统、丰富的朋友圈和相册功能。但是该blog系统在安全性上并不让人满意，本文就来分析lxblog一个变量未初始化造成的sql注入漏洞。

2009年03月12日

远古视频点播系统注入漏洞

作者：toby57

VIEWGOOD VOD视频点播系统 (WebVOD)注入漏洞
漏洞产生于文件/webmedia/oemui/user/guest.asp，访问这个页面需要注册

马克斯CMS 2.0 beta (Maxcms)SQL注入漏洞

马克斯CMS 2.0 beta (Maxcms)SQL注入漏洞

关键字：首页-马克斯CMS2.0

这个系统是国内非常流行的视频点播系统，之前的1.5版本漏洞非常多，2.0版本在安全方面有所提高，但是依然有漏洞存在。

看代码......

2008年07月01日

Oblog最新注入漏洞分析(已修补)

Date：2008-5-15
Author：Yamato[ BCT ]
Version：Oblog 4.5-4.6 sql

代码分析：

文件In/Class_UserCommand.asp :

strMonth=Request("month") //第63行

strDay=Request("day")

……

2008年06月08日

Pangolin v1.3.0.630 - ZwelL开发的号称最好的SQL注入工具

夜火：记得1月份发过一篇《Pangolin-你见过最好的SQL注入工具-ZwelL出品》之后，就再也没有发Pangolin相关的文章了，刚刚看到ZWelL更新了Pangolin v1.3.0.630，就再发一篇，好工具，给大家共享

Pangolin是一款Windows平台下的自动化SQL注入渗透测试工具。他实现了从检测到利用完成一体化的渗透攻击动作，尽可能的将SQL注入攻击效果最大化。

2008年06月01日

cookies的注入方法和原理

现在很多网站都采用了通用防注入程序，那么对于这种网站，我门是否就束手无策了呢？答案是否定的，因为我们可以采用cookie注入的方法，而很多通用防注入程序对这种注入方式都没有防备。

在讲之前,我们还是来回顾下ASP脚本中Request对象的知识吧,上面几讲中都提到Request对象获取客户端提交数据常用的是GET和POST二种方式,同时request对象可以不通过集合来获得数据,即直接使用"request("name")"但它的效率低下,容易出错,当我们省略具体的集合名称时,ASP是按QueryString,from,cookie,servervariable,集合的顺序来搜索的,在request对象成员中集合cookies,它的意思是"读取用户系统发送的所有cookie值,我们从第二讲关于"cookies欺骗入侵和原理"中知道,cookies是保存在客户端计算机的一个文本文件,可以进行修改,这样一来,我们就可以使用Request.cookie方式来提交变量的值,从而利用系统的漏洞进行注入攻击.

2008年06月01日

dvbbs8.2(access/sql)版 login.asp远程注入漏洞exploit

Subject:
dvbbs8.2(access/sql)version login.asp remote sql injection - (dvbbs8.2 access/sql版 login.asp文件远程SQL注入漏洞)

danger level(危险级别):
critical/High(危险/高)

info:
dvbbs is prone to multiple sql injection security flaw

2008年05月22日

NBSI 1.157 源代码下载

NBSI是网站漏洞检测工具，ASP注入漏洞检测工具，特别在SQL Server注入检测方面有极高的准确率。在火狐上看到netsnow发布了NBSI 1.157源代码，提供给大家研究研究

2008年05月19日

wsi - 支持GET、POST、Cookie注入扫描和注入工具

wsi是注入工具，支持自定义数据包，可自定义提交数据包格式，程序自动替换“***”为注入的SQL语句，只支持Access
hwis.exe为扫描工具，扫描一个网站的注入点，深度扫描网站两层，可扫描get,post,cookie注入点