浅谈微软系统网站漏洞捕捉利用

《浅谈微软系统网站漏洞捕捉利用》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、为了确保“教学点数字教育资源全覆盖”项目设备正常使用，我校做到安装、教师培训同步进行。设备安装到位后，中心校组织各学点管理人员统一到县教师进修学校进行培训，熟悉系统的使用和维护。浅谈微软系统网站漏洞捕捉利用　　摘要：将微软操作系统下的漏洞捕捉利用的方法为研究对象，侧重分析和捕捉旁注入侵的利用方法，为WEB站点漏洞修补提供更多迅速、便利的侦测捕捉利用。　　关键词：结构化查询语句旁注；漏洞捕捉；木马页面　　中图分类号：TP393文献标识码：A文章编号：1009--0037-02　　改革开放不断深入，互联网的体量和增量速度不断发展壮大，

2、高速互联网日益普及，网络终端应用不断普及，计算机网络安全问题越来越受到关注，信息安全在计算机网络中扮演的角色越来越重要。　　计算机网络安全问题在基于微软视窗平台的应用方面更加值得关注，某些方面不安全也确实令人担忧，拒绝服务攻击、基于数据库平台的代码注入、操作系统漏洞捕捉利用、木马插件、木马邮件、垃圾信息等安全防范领域困扰层出不穷[1]。探讨漏洞捕捉和利用方法，发现其共同特性，能够帮助解决问题和克服困难，在指导计算机网络安全方面的工作有所帮助。我们将谈论计算机系统漏洞捕捉利用，结构化查询语句注入、木马页面利用、分布式拒绝服务等方面的

3、入侵和攻击方法，并企图通过分析来探讨计算机网络形成的高速互联网的安全问题。　　1结构化语句旁注入侵为了充分发挥“教学点数字教育资源全覆盖”项目设备的作用，我们不仅把资源运用于课堂教学，还利用系统的特色栏目开展课外活动，对学生进行安全教育、健康教育、反邪教教育等丰富学生的课余文化生活。为了确保“教学点数字教育资源全覆盖”项目设备正常使用，我校做到安装、教师培训同步进行。设备安装到位后，中心校组织各学点管理人员统一到县教师进修学校进行培训，熟悉系统的使用和维护。　　旁注入侵通过正常访问3W端口来进行侦测。表面上和正常访问网站网页没什么

4、不同的，主流的防火墙安全系统并不会对旁注入侵进行警报，也无法进行鉴别，在网站系统管理者未查web服务器日志的情况下造成被入侵很久都未必会他们发现[2]。　　虽然这样，注入是一种灵活有效的方法，但在操作时往往会遇到这样那样的特殊情形。应该依据具体不同情况具体分析，能否构建一句精巧的旁注侦测结构化查询语句，获得提取到预期的信息和数据，则要依靠入侵操作者的平时知识积累水平和运气情况。　　注入的原理　　请看一个实例：在网站上，如果有一个链接，地址如下：http：///../？idd=2，注入者可以在地址后加一个单引号'，网站WEB服务器计

5、算机将会应要求反馈如下的错误提示：　　[MicrosoftJETDatabaseEngine错误'80040e14'　　字符串的语法错误在查询表达式'IDD=2''中。　　/，行4]在上面这一错误提示信息，可以发现下面几点有意义的信息：　　1）网络Server上安装微软的MS-Access数据库并设置JET-OLE链接。　　2）编程人员在代码中未判断用户端提交的数据对于程序的合规性。为了充分发挥“教学点数字教育资源全覆盖”项目设备的作用，我们不仅把资源运用于课堂教学，还利用系统的特色栏目开展课外活动，对学生进行安全教育、健康教育、

6、反邪教教育等丰富学生的课余文化生活。为了确保“教学点数字教育资源全覆盖”项目设备正常使用，我校做到安装、教师培训同步进行。设备安装到位后，中心校组织各学点管理人员统一到县教师进修学校进行培训，熟悉系统的使用和维护。　　3）网站的结构化查询语句所查询的表中存在名为“IDD”的字段。　　通过上面例子可知，旁注侦测的基本原理是通过分析客户端提交的代码行，然后分析服务器的反馈信息，获取旁注侦测信息及资料。　　分析注入可行性　　要分析是否存在漏洞，使用如下测试方法是较为准确的：　　1）http：///？idd=2　　2）http：///？i

7、dd=2and1=1　　3）http：///？idd=2and1=2　　此法是常用的�y试法。观察以上的网址返回的结果，通常可以知道是否可以注入。　　可注入时，反馈内容表现如下：　　1）网页能够正常显示；　　2）网页基本能正常显示，但格式异常，内容与1）大致相同；　　3）出现BOF或EOF提示、或提示未找到记录、或显示网页内容为空。　　若是不存在入侵条件则通过反馈异常来反映，观察网页程序定义的出错提示类型甚至跳转到的指定页面信息。为了充分发挥“教学点数字教育资源全覆盖”项目设备的作用，我们不仅把资源运用于课堂教学，还利用系统的特色

8、栏目开展课外活动，对学生进行安全教育、健康教育、反邪教教育等丰富学生的课余文化生活。为了确保“教学点数字教育资源全覆盖”项目设备正常使用，我校做到安装、教师培训同步进行。设备安装到位后，中心校组织各学点管理人员统一到县教师进修学校进行培训，熟悉系统